CVE-2024-45846
Publiée le 2024-09-12 · Dernière modification le 2026-06-17
Les serveurs MindsDB utilisant l'intégration Weaviate sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'identifiants utilisateur basiques peut exécuter du code Python arbitraire sur votre serveur en envoyant une requête SQL spécialement conçue. Cette attaque est relativement facile à réaliser car elle ne nécessite qu'un accès réseau et un compte avec des privilèges restreints, sans aucune autre interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An arbitrary code execution vulnerability exists in versions 23.10.3.0 up to 24.7.4.1 of the MindsDB platform, when the Weaviate integration is installed on the server. If a specially crafted ‘SELECT WHERE’ clause containing Python code is run against a database created with the Weaviate engine, the code will be passed to an eval function and executed on the server.