vanna-ai vanna चैट एपीआई एंडपॉइंट v2 में प्रमाणीकरण गायब है

vanna-ai vanna के संस्करण 2.0.2 तक में एक गंभीर भेद्यता की पहचान की गई है, जिसे CVSS स्कोर 7.3 के साथ रेट किया गया है। यह सुरक्षा दोष चैट API को प्रभावित करता है, विशेष रूप से /api/vanna/v2/ एंडपॉइंट, जो प्रमाणीकरण को बायपास करने की अनुमति देता है। इसका मतलब है कि एक हमलावर वैध क्रेडेंशियल्स के बिना संरक्षित कार्यक्षमताओं तक पहुंच सकता है। शोषण दूरस्थ है, जो जोखिम को काफी बढ़ाता है क्योंकि इसे नेटवर्क एक्सेस वाले किसी भी स्थान से शुरू किया जा सकता है। स्थिति की गंभीरता इस तथ्य से बढ़ जाती है कि शोषण अब सार्वजनिक है, जिससे दुर्भावनापूर्ण अभिनेताओं द्वारा इसके उपयोग की सुविधा मिलती है। यह ध्यान रखना महत्वपूर्ण है कि विक्रेता ने इस भेद्यता के बारे में शुरुआती सूचनाओं का जवाब नहीं दिया है, जिससे आधिकारिक फिक्स की उपलब्धता बाधित होती है।

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-09

चूंकि विक्रेता ने कोई फिक्स प्रदान नहीं किया है, इसलिए तत्काल शमन महत्वपूर्ण है। हम जल्द से जल्द vanna-ai के नए संस्करण में अपग्रेड करने की दृढ़ता से अनुशंसा करते हैं। इस बीच, सिस्टम को सुरक्षित रखने के लिए अतिरिक्त सुरक्षा उपायों को लागू किया जाना चाहिए। इसमें कमजोर एंडपॉइंट तक पहुंच को सीमित करने के लिए नेटवर्क सेगमेंटेशन, प्रतिबंधात्मक नियमों को लागू करने वाले फ़ायरवॉल और शोषण के संकेतों के लिए नेटवर्क गतिविधि की निरंतर निगरानी शामिल हो सकती है। इसके अतिरिक्त, सफल शोषण के संभावित प्रभाव को कम करने के लिए API एक्सेस नीतियों की समीक्षा और मजबूत करें। विक्रेता की प्रतिक्रिया की कमी एक मजबूत घटना प्रतिक्रिया योजना होने के महत्व पर प्रकाश डालती है।