CVE-2024-45850
Publiée le 2024-09-12 · Dernière modification le 2026-06-17
Les installations de MindsDB utilisant l'intégration Microsoft SharePoint sont vulnérables à l'exécution de code à distance via des requêtes « INSERT » spécialement conçues. Un attaquant disposant d'un accès avec un compte de bas niveau peut exécuter du code Python arbitraire sur le serveur en exploitant une fonction `eval` lors de la création d'une colonne de site. Cette attaque est relativement facile à réaliser via le réseau et ne nécessite qu'une authentification basique, sans aucune interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An arbitrary code execution vulnerability exists in versions 23.10.5.0 up to 24.7.4.1 of the MindsDB platform, when the Microsoft SharePoint integration is installed on the server. For databases created with the SharePoint engine, an ‘INSERT’ query can be used for site column creation. If such a query is specially crafted to contain Python code and is run against the database, the code will be passed to an eval function and executed on the server.