FICHE CVE

CVE-2024-45847

Publiée le 2024-09-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les plateformes MindsDB (versions 23.11.4.2 à 24.7.4.1) disposant de certaines intégrations installées sont vulnérables à l'exécution de code arbitraire. Un attaquant possédant des identifiants d'utilisateur de bas niveau peut exécuter du code Python malveillant sur votre serveur en envoyant une requête `UPDATE` spécialement conçue via le réseau. Cette exploitation nécessite une authentification, mais n'implique aucune interaction de l'utilisateur et est relativement facile à réaliser.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-95 Injection de code · CWE-94

Publiée2024-09-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

6f8de1f0-f67e-45a6-b68f-98777fdb759c

Description officielle du NVD (en anglais)

An arbitrary code execution vulnerability exists in versions 23.11.4.2 up to 24.7.4.1 of the MindsDB platform, when one of several integrations is installed on the server. If a specially crafted ‘UPDATE’ query containing Python code is run against a database created with the specified integration engine, the code will be passed to an eval function and executed on the server.