vanna-ai vanna FastAPI/Flask सर्वर क्रॉस-डोमेन नीति

vanna-ai vanna के संस्करण 2.0.2 और उससे पहले में एक गंभीर भेद्यता पाई गई है, जो FastAPI/Flask सर्वर में एक अज्ञात कार्यक्षमता को प्रभावित करती है। यह दोष एक अनुमत क्रॉस-ओरिजिन नीति को कॉन्फ़िगर करने की अनुमति देता है, जिससे अविश्वसनीय डोमेन संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं या अनधिकृत क्रियाएं कर सकते हैं। इस भेद्यता का दूरस्थ रूप से शोषण किया जा सकता है, जिससे जोखिम काफी बढ़ जाता है। एक शोषण के सार्वजनिक प्रकाशन से स्थिति और खराब हो जाती है, क्योंकि यह हमलावरों के लिए इसका उपयोग करना आसान बना देता है। प्रारंभिक प्रकटीकरण सूचनाओं पर विक्रेता की प्रतिक्रिया की कमी चिंताजनक है और निवारण के प्रयासों में बाधा डालती है।

Organizations deploying vanna-ai vanna in production environments, particularly those with sensitive data or exposed APIs, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as a compromise of one user's environment could potentially impact others.

• python / server:

# Check for vanna-ai vanna version
pip show vanna-ai-vanna

• generic web:

# Check for CORS misconfiguration using curl
curl -I https://your-vanna-ai-vanna-instance/  # Look for Access-Control-Allow-Origin: *

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-02
3. EPSS अद्यतन2026-04-09

चूंकि विक्रेता ने कोई समाधान प्रदान नहीं किया है, इसलिए तत्काल शमन महत्वपूर्ण है। जैसे ही यह उपलब्ध हो, vanna-ai के नए संस्करण में अपग्रेड करने की जोरदार सिफारिश की जाती है। इस बीच, अतिरिक्त सुरक्षा उपायों को लागू किया जा सकता है, जैसे कि फ़ायरवॉल के माध्यम से API एक्सेस को प्रतिबंधित करना और विश्वसनीय डोमेन को श्वेतसूची में जोड़ना। संभावित हमलों का पता लगाने और उनका जवाब देने के लिए सर्वर लॉग की सक्रिय रूप से निगरानी करना आवश्यक है। यदि यह संचालन के लिए आवश्यक नहीं है तो प्रभावित कार्यक्षमता को अस्थायी रूप से अक्षम करने पर विचार करें। एक सख्त सामग्री सुरक्षा नीति (CSP) को लागू करने से क्रॉस-ओरिजिन हमलों के जोखिम को कम करने में मदद मिल सकती है।