Sinaptik AI PandasAI pandasai-lancedb Extension lancedb.py get_relevant_docs_by_id SQL इंजेक्शन (SQL Injection)

PandasAI में एक SQL इंजेक्शन भेद्यता की पहचान की गई है, विशेष रूप से pandasai-lancedb एक्सटेंशन में संस्करण 0.1.4 से पहले। यह भेद्यता lancedb.py फ़ाइल में कई फ़ंक्शंस (विशेष रूप से deletequestionandanswers, deletedocs, updatequestionanswer, updatedocs, getrelevantquestionanswersbyid, और getrelevantdocsbyid) को प्रभावित करती है। एक दूरस्थ हमलावर इस भेद्यता का उपयोग SQL प्रश्नों में हेरफेर करने के लिए कर सकता है, जिससे PandasAI द्वारा उपयोग किए जा रहे LanceDB डेटाबेस में संग्रहीत संवेदनशील डेटा तक पहुंच, संशोधन या हटाने की संभावना हो सकती है। एक शोषण की सार्वजनिक उपलब्धता स्थिति को बढ़ाती है, जिससे हमलों का जोखिम बढ़ जाता है।

Applications utilizing the PandasAI LanceDB Extension in versions 0.1.0 through 0.1.4 are at direct risk. This includes data science projects, AI applications, and any system relying on the extension for vector database interactions. Shared hosting environments where multiple applications share the same database are particularly vulnerable, as a compromise of one application could potentially lead to a compromise of the entire database.

• python / application: Inspect application logs for unusual SQL queries or error messages related to the vulnerable functions. Use a debugger to trace the execution flow and identify potential injection points. • generic web: Monitor web server access logs for requests containing suspicious SQL syntax or patterns targeting the affected endpoints. Use a WAF to detect and block malicious requests. • database (mysql, postgresql): Monitor database audit logs for unauthorized access attempts or suspicious SQL queries. Implement database activity monitoring (DAM) to detect and alert on anomalous behavior.

1. 2026-03-28Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-28
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-04

वर्तमान में, PandasAI डेवलपर्स से कोई आधिकारिक फिक्स प्रदान नहीं किया गया है। सबसे प्रभावी तत्काल शमन उपाय 0.1.4 से बाद के PandasAI संस्करण में अपग्रेड करना है, एक बार उपलब्ध होने पर। इस बीच, PandasAI इंस्टेंस और अंतर्निहित LanceDB डेटाबेस तक पहुंच को प्रतिबंधित करने की अनुशंसा की जाती है। आपके एप्लिकेशन कोड में मजबूत इनपुट सत्यापन और सैनिटाइजेशन को लागू करने से जोखिम को कम करने में मदद मिल सकती है, हालांकि इसके लिए गहन कोड समीक्षा की आवश्यकता होती है। डेटाबेस गतिविधि की निगरानी संदिग्ध पैटर्न के लिए भी महत्वपूर्ण है।