Plateforme
python
Composant
dbgpt
Corrigé dans
0.6.1
Une vulnérabilité de type Path Traversal a été découverte dans dbgpt, versions inférieures ou égales à 0.6.0, affectant l'API /v1/resource/file/delete. Cette faille permet à un attaquant de supprimer des fichiers arbitraires sur le serveur en manipulant le paramètre file_key. La mise à jour vers une version corrigée est recommandée pour éliminer ce risque.
L'exploitation réussie de cette vulnérabilité permet à un attaquant de supprimer n'importe quel fichier accessible au processus dbgpt sur le serveur. Cela peut inclure des fichiers de configuration critiques, des données sensibles, ou même des fichiers système, entraînant une perte de données, une interruption de service, ou une compromission plus large du système. Un attaquant pourrait potentiellement compromettre l'intégrité du système en supprimant des fichiers essentiels au fonctionnement de l'application ou du serveur. La surface d'attaque est significative, car la vulnérabilité est accessible via une API et ne nécessite pas d'authentification préalable.
Cette vulnérabilité a été rendue publique le 20 mars 2025. Il n'y a pas d'indication d'une présence sur le KEV (CISA Known Exploited Vulnerabilities) à ce jour. La probabilité d'exploitation est considérée comme moyenne, compte tenu de la simplicité de l'exploitation et de la disponibilité potentielle de preuves de concept publiques. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour détecter l'émergence de preuves de concept ou d'exploits.
Organizations deploying db-gpt in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Shared hosting environments where db-gpt instances share resources are also vulnerable, as an attacker could potentially exploit this vulnerability to impact other tenants.
• python / server:
# Monitor for requests to /v1/resource/file/delete with suspicious file_key parameters
# Example: grep '..' /var/log/nginx/access.log | grep '/v1/resource/file/delete'• generic web:
# Check for the existence of the endpoint
curl -I https://your-dbgpt-instance/v1/resource/file/deletedisclosure
Statut de l'Exploit
EPSS
0.22% (percentile 45%)
CISA SSVC
Vecteur CVSS
En attendant la publication d'une version corrigée, plusieurs mesures de mitigation peuvent être mises en œuvre. La première consiste à restreindre l'accès à l'API /v1/resource/file/delete en utilisant des règles de pare-feu ou de contrôle d'accès. Il est également possible de mettre en place une validation stricte du paramètre file_key, en s'assurant qu'il correspond à un chemin de fichier attendu et en interdisant l'utilisation de caractères spéciaux comme ... L'utilisation d'un Web Application Firewall (WAF) peut également aider à bloquer les requêtes malveillantes. Enfin, surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte.
Actualice a una versión posterior a 0.6.0 o implemente una validación robusta de la entrada `file_key` para evitar el recorrido de directorios. Asegúrese de que los nombres de archivo proporcionados por el usuario se validen con una lista blanca o se limpien adecuadamente antes de usarlos para acceder a los archivos. Considere restringir el acceso a la función de eliminación de archivos solo a usuarios autorizados.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-10830 is a Path Traversal vulnerability in dbgpt versions up to 0.6.0, allowing attackers to delete files on the server by manipulating the file_key parameter in the /v1/resource/file/delete endpoint.
You are affected if you are using dbgpt version 0.6.0 or earlier. Assess your deployment to determine if this version is in use.
Upgrade to a patched version of dbgpt that addresses this vulnerability. Until a patch is available, implement workarounds like restricting access and validating input.
There are currently no reports of active exploitation, but the vulnerability's ease of exploitation makes it a potential target.
Check the eosphoros-ai project's repository and associated communication channels for updates and advisories related to CVE-2024-10830.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.