Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-15975

Опубликовано: 27 июн. 2025
Источник: fstec
CVSS3: 7.3
CVSS2: 7.5
EPSS Низкий

Описание

Уязвимость функции import_flow фреймворка для разработки приложений на основе больших языковых моделей db-gpt связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

DB-GPT

Версия ПО

до 0.7.2 включительно (DB-GPT)

Тип ПО

ПО для разработки ИИ

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,3)
Средний уровень опасности (оценка CVSS 4.0 составляет 5,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки файлов, загружаемых на сервер веб-приложения;
- использование межсетевого экрана уровня приложений (WAF);
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- отключение/удаление неиспользуемых учётных записей пользователей.
- минимизация пользовательских привилегий.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 52%
0.00286
Низкий

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVSS3: 7.3
nvd
8 месяцев назад

A vulnerability was found in eosphoros-ai db-gpt up to 0.7.2. It has been classified as critical. Affected is the function import_flow of the file /api/v2/serve/awel/flow/import. The manipulation of the argument File leads to path traversal. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.

CVSS3: 7.3
github
8 месяцев назад

A vulnerability was found in eosphoros-ai db-gpt up to 0.7.2. It has been classified as critical. Affected is the function import_flow of the file /api/v2/serve/awel/flow/import. The manipulation of the argument File leads to path traversal. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used.

EPSS

Процентиль: 52%
0.00286
Низкий

7.3 High

CVSS3

7.5 High

CVSS2