CVE-2026-5320: 認証なしアクセス in vanna-ai vanna

vanna-ai vannaのバージョン2.0.2までにおいて、CVSSスコア7.3の重大な脆弱性が検出されました。このセキュリティ上の欠陥は、チャットAPI、特に/api/vanna/v2/エンドポイントに影響を与え、認証をバイパスすることを可能にします。これは、攻撃者が有効な資格情報なしに保護された機能にアクセスできることを意味します。攻撃はリモートで行われるため、ネットワークアクセス権限を持つどこからでも開始できるため、リスクが大幅に拡大します。脆弱性の公開により、悪意のある攻撃者による悪用の可能性が高まることが、状況をさらに深刻化させています。この脆弱性に関する初期の通知に対するベンダーからの応答がないため、公式な修正が利用できないという事実は重要です。

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-02
3. EPSS 更新日2026-04-09

ベンダーが修正を提供していないため、迅速な軽減策が不可欠です。できるだけ早くvanna-aiの新しいバージョンにアップデートすることを強くお勧めします。その間は、システムを保護するために、追加のセキュリティ対策を実装する必要があります。これには、脆弱なエンドポイントへのアクセスを制限するためのネットワークセグメンテーション、制限付きルールを実装するファイアウォール、および攻撃の兆候を示すネットワークアクティビティの継続的な監視が含まれます。さらに、APIアクセスポリシーを見直し、強化して、成功した悪用による潜在的な影響を最小限に抑えます。ベンダーからの応答がないことは、堅牢なインシデント対応計画を持つことの重要性を強調しています。