プラットフォーム
go
コンポーネント
github.com/tencent/weknora
修正版
0.2.13
0.2.12
CVE-2026-30860は、github.com/Tencent/WeKnoraプロジェクトのAIデータベースクエリツールにおけるSQLインジェクション脆弱性です。この脆弱性を悪用されると、攻撃者はリモートから任意のコードを実行できる可能性があります。影響を受けるバージョンは0.2.11以前であり、0.2.12へのアップデートで修正されています。
このSQLインジェクション脆弱性は、攻撃者がデータベースへの不正アクセスを可能にし、機密情報の窃取、データの改ざん、さらにはサーバー全体の制御奪取につながる可能性があります。攻撃者は、データベースクエリを操作することで、データベースの構造や内容を把握し、不正な操作を実行できます。WeKnoraがAI関連のデータを扱う場合、機密性の高い情報が漏洩するリスクも考慮する必要があります。この脆弱性の悪用は、システム全体の信頼性を損ない、重大なビジネスインパクトをもたらす可能性があります。
この脆弱性は、2026年3月10日に公開されました。現時点では、公開されているPoC（Proof of Concept）は確認されていませんが、SQLインジェクションの特性上、悪用される可能性は高いと考えられます。CISA KEVカタログへの登録状況は不明ですが、CVSSスコアが10（CRITICAL）であることから、攻撃者による悪用のリスクは高いと評価されます。
Organizations utilizing WeKnora for AI database querying, particularly those handling sensitive data or integrating WeKnora into critical business processes, are at significant risk. This includes companies leveraging WeKnora for data analysis, machine learning model training, or other data-intensive applications.
• go / server:
ps aux | grep WeKnora• go / server:
journalctl -u weknora | grep "SQL injection"• generic web:
curl -I <weknora_endpoint> | grep SQLdisclosure
エクスプロイト状況
EPSS
0.18% (39% パーセンタイル)
CISA SSVC
まず、WeKnoraのバージョンを0.2.12にアップデートすることを強く推奨します。アップデートが直ちに実行できない場合は、データベースへのアクセスを制限するファイアウォールルールやWAF（Web Application Firewall）の設定を検討してください。入力値の検証を強化し、SQLインジェクション攻撃を防御するための対策を講じることも有効です。また、データベースの監査ログを監視し、不正なアクセスがないか定期的に確認することが重要です。アップデート後、データベースの整合性を確認し、不正なデータ改ざんがないか検証してください。
WeKnora をバージョン 0.2.12 以降にアップデートしてください。このバージョンでは、データベースクエリの適切な検証により、リモートコード実行の脆弱性が修正されています。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-30860は、WeKnora AIデータベースクエリツールにおけるSQLインジェクション脆弱性であり、攻撃者がリモートから任意のコードを実行できる可能性があります。
はい、WeKnoraの0.2.11以前のバージョンを使用している場合、この脆弱性により機密情報の窃取やデータの改ざん、さらにはサーバー全体の制御奪取のリスクがあります。
WeKnoraのバージョンを0.2.12にアップデートしてください。アップデートが困難な場合は、ファイアウォールやWAFの設定、入力値の検証強化などの対策を講じてください。
現時点では公開されているPoCは確認されていませんが、SQLインジェクションの特性上、悪用される可能性は高いと考えられます。
github.com/Tencent/WeKnoraプロジェクトの公式リポジトリまたは関連するセキュリティアナウンスメントをご確認ください。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。