Vulnerabilidad en Vanna-ai v0.6.2 (CVE-2024-7764)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
20/03/2025
Última modificación:
20/03/2025
Descripción
Vanna-ai v0.6.2 es vulnerable a la inyección de SQL debido a la protección insuficiente contra la inyección de comandos SQL adicionales provenientes de las solicitudes de usuario. La vulnerabilidad se produce cuando la función `generate_sql` llama a `extract_sql` con la respuesta LLM. Un atacante puede incluir un punto y coma entre un campo de datos de búsqueda y su propio comando, lo que provoca que la función `extract_sql` elimine todo el SQL generado por LLM y ejecute el comando del atacante si este pasa la función `is_sql_valid`. Esto permite la ejecución de SQL definido por el usuario más allá de los límites previstos, en particular del esquema entrenado.
Impacto
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA