vanna-ai vanna Point de terminaison API Chat v2 authentification manquante

Une vulnérabilité critique a été identifiée dans vanna-ai vanna jusqu'à la version 2.0.2, notée avec un score CVSS de 7.3. Cette faille de sécurité affecte l'API de chat, plus précisément le point de terminaison /api/vanna/v2/, permettant un contournement de l'authentification. Cela signifie qu'un attaquant pourrait accéder à des fonctionnalités protégées sans avoir d'identifiants valides. L'exploitation est à distance, ce qui élargit considérablement le risque, car elle peut être initiée depuis n'importe où avec un accès réseau. La gravité de la situation est aggravée par le fait que l'exploit est désormais public, ce qui facilite son utilisation par des acteurs malveillants. Il est important de noter que le fournisseur n'a pas répondu aux notifications anticipées concernant cette vulnérabilité, ce qui entrave la disponibilité d'une correction officielle.

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-02
3. EPSS mis à jour2026-04-09

Étant donné que le fournisseur n'a pas fourni de correctif, une atténuation immédiate est cruciale. Nous recommandons fortement de mettre à niveau vers une version ultérieure de vanna-ai dès qu'elle est disponible. En attendant, des mesures de sécurité supplémentaires doivent être mises en œuvre pour protéger le système. Cela peut inclure la segmentation du réseau pour limiter l'accès au point de terminaison vulnérable, la mise en œuvre de pare-feu avec des règles restrictives et la surveillance continue de l'activité réseau à la recherche de signes d'exploitation. De plus, examinez et renforcez les politiques d'accès à l'API pour minimiser l'impact potentiel d'une exploitation réussie. Le manque de réponse du fournisseur souligne l'importance d'avoir un plan de réponse aux incidents robuste.