vanna-ai vanna Chat API Endpoint v2 fehlende Authentifizierung

Eine kritische Schwachstelle wurde in vanna-ai vanna bis zur Version 2.0.2 identifiziert, die mit einem CVSS-Wert von 7.3 bewertet wird. Dieser Sicherheitsfehler betrifft die Chat-API, insbesondere den Endpunkt /api/vanna/v2/, und ermöglicht eine Umgehung der Authentifizierung. Das bedeutet, dass ein Angreifer geschützte Funktionen ohne gültige Anmeldedaten nutzen könnte. Die Ausnutzung erfolgt remote, was das Risiko erheblich vergrößert, da sie von überall mit Netzwerkzugang initiiert werden kann. Die Schwere der Situation wird dadurch verstärkt, dass der Exploit jetzt öffentlich ist, was seine Nutzung durch böswillige Akteure erleichtert. Es ist wichtig zu beachten, dass der Anbieter auf frühzeitige Benachrichtigungen über diese Schwachstelle nicht reagiert hat, was die Verfügbarkeit einer offiziellen Lösung behindert.

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. Reserviert2026-04-01
2. Veröffentlicht2026-04-02
3. EPSS aktualisiert2026-04-09

Da der Anbieter keinen Fix bereitgestellt hat, ist eine sofortige Abschwächung entscheidend. Wir empfehlen dringend, auf eine spätere Version von vanna-ai zu aktualisieren, sobald sie verfügbar ist. In der Zwischenzeit sollten zusätzliche Sicherheitsmaßnahmen implementiert werden, um das System zu schützen. Dies kann die Netzwerksegmentierung umfassen, um den Zugriff auf den anfälligen Endpunkt zu beschränken, die Implementierung von Firewalls mit restriktiven Regeln und die kontinuierliche Überwachung der Netzwerkaktivität auf Anzeichen einer Ausnutzung. Darüber hinaus sollten API-Zugriffsberechtigungen überprüft und verstärkt werden, um die potenziellen Auswirkungen einer erfolgreichen Ausnutzung zu minimieren. Das Ausbleiben einer Reaktion des Anbieters unterstreicht die Bedeutung eines robusten Incident-Response-Plans.