MindsDB क्रॉस-साइट स्क्रिप्टिंग (Cross-site Scripting) भेद्यता

यह XSS भेद्यता हमलावरों के लिए दुर्भावनापूर्ण जावास्क्रिप्ट कोड को इंजेक्ट करने का मार्ग खोलती है, जो तब ब्राउज़र में निष्पादित हो सकता है। हमलावर उपयोगकर्ता सत्रों को हाईजैक कर सकते हैं, संवेदनशील जानकारी चुरा सकते हैं (जैसे क्रेडेंशियल, API कुंजियाँ), या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट कर सकते हैं। चूंकि भेद्यता ML इंजन, डेटाबेस, प्रोजेक्ट और डेटासेट को सूचीबद्ध करते समय मौजूद है, इसलिए यह कई उपयोगकर्ताओं को प्रभावित कर सकती है और संभावित रूप से पूरे MindsDB प्लेटफॉर्म की सुरक्षा को खतरे में डाल सकती है। इस तरह की भेद्यता का शोषण डेटा उल्लंघनों, सेवा से इनकार (DoS) हमलों और सिस्टम के पूर्ण नियंत्रण के लिए किया जा सकता है।

Organizations utilizing MindsDB for machine learning model management and deployment are at risk. This includes data scientists, machine learning engineers, and DevOps teams who interact with the MindsDB web UI. Specifically, those relying on older versions of MindsDB (≤24.9.2.1) are highly vulnerable.

• python / server:

import requests
from bs4 import BeautifulSoup

url = 'http://your-mindsdb-instance/ui/ml-engines'
response = requests.get(url)

if response.status_code == 200:
    soup = BeautifulSoup(response.content, 'html.parser')
    # Look for suspicious script tags or event handlers
    for script in soup.find_all('script'):
        if script.string and 'eval(' in script.string:
            print(f'Potential XSS detected: {script.string}')

• generic web:

curl -I http://your-mindsdb-instance/ui/ml-engines | grep -i 'content-security-policy'

• generic web:

curl -I http://your-mindsdb-instance/ui/ml-engines | grep -i 'x-xss-protection'

1. 2024-09-12Disclosure

   disclosure

1. आरक्षित2024-09-10
2. प्रकाशित2024-09-12
3. EPSS अद्यतन2026-04-02

CVE-2024-45856 के लिए प्राथमिक शमन रणनीति MindsDB प्लेटफॉर्म को संस्करण 24.9.2.1 से ऊपर के नवीनतम संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) को कॉन्फ़िगर करके या इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू करके XSS हमलों को कम किया जा सकता है। सुनिश्चित करें कि सभी उपयोगकर्ता इनपुट को ठीक से मान्य और सैनिटाइज किया गया है, और आउटपुट को प्रदर्शित करने से पहले एन्कोड किया गया है। इसके अतिरिक्त, नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग संभावित कमजोरियों की पहचान करने और उन्हें ठीक करने में मदद कर सकते हैं। अपडेट के बाद, यह सत्यापित करें कि XSS हमलों को रोकने के लिए सभी सुरक्षा उपाय प्रभावी हैं।