FICHE CVE

CVE-2024-45848

Publiée le 2024-09-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs MindsDB utilisant l'intégration ChromaDB sont concernés. Un attaquant disposant d'identifiants d'utilisateur avec des privilèges limités peut exécuter du code Python arbitraire sur le serveur en lançant une requête « INSERT » spécialement conçue. Cette attaque est facile à réaliser via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-95 Injection de code · CWE-94

Publiée2024-09-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

6f8de1f0-f67e-45a6-b68f-98777fdb759c

Description officielle du NVD (en anglais)

An arbitrary code execution vulnerability exists in versions 23.12.4.0 up to 24.7.4.1 of the MindsDB platform, when the ChromaDB integration is installed on the server. If a specially crafted ‘INSERT’ query containing Python code is run against a database created with the ChromaDB engine, the code will be passed to an eval function and executed on the server.