CVE-2024-10906
CVE-2024-10906 · Cross-Site Request Forgery (CSRF) in eosphoros-ai/db-gpt
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
In version 0.6.0 of eosphoros-ai/db-gpt, the `uvicorn` app created by `dbgpt_server` uses an overly permissive instance of `CORSMiddleware` which sets the `Access-Control-Allow-Origin` to `*` for all requests. This configuration makes all endpoints exposed by the server vulnerable to Cross-Site Request Forgery (CSRF). An attacker can exploit this vulnerability to interact with any endpoints of the instance, even if the instance is not publicly exposed to the network.
CVSS 7.1 · Hoch · EPSS 0,2%
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
eosphoros-ai/db-gpt
- Softwareversionen
- ≥ unspecified, ≤ latest: Betroffen (custom)
Keine Korrektur veröffentlicht
dbgpt PyPI
- Softwareversionen
- 0.4.7
- 0.5.0
- 0.5.1
- 0.5.10
- 0.5.1rc0
- 0.5.2
- 0.5.2rc0
- 0.5.3
- 0.5.3rc0
- 0.5.4
- 0.5.4rc0
- 0.5.5
- 0.5.5rc0
- 0.5.6
- 0.5.6rc0
- 0.5.7
- 0.5.7rc0
- 0.5.8
- 0.5.9
- 0.5.9rc0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≤ 0.6.0
Keine Korrektur veröffentlicht