vanna-ai vanna FastAPI/Flask Server クロスドメインポリシー

vanna-ai vannaのバージョン2.0.2までの脆弱性が発見されました。これはFastAPI/Flaskサーバー内の不明な機能に影響を与えます。この欠陥により、クロスオリジンポリシーを許可する設定が可能になり、信頼できないドメインが機密データにアクセスしたり、不正なアクションを実行したりする可能性があります。この脆弱性はリモートで悪用できるため、リスクが大幅に高まります。エクスプロイトの公開は状況をさらに悪化させ、攻撃者がそれを活用しやすくなります。早期の開示通知に対するベンダーの対応がないことは懸念される問題であり、修正作業を妨げています。

Organizations deploying vanna-ai vanna in production environments, particularly those with sensitive data or exposed APIs, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as a compromise of one user's environment could potentially impact others.

• python / server:

# Check for vanna-ai vanna version
pip show vanna-ai-vanna

• generic web:

# Check for CORS misconfiguration using curl
curl -I https://your-vanna-ai-vanna-instance/  # Look for Access-Control-Allow-Origin: *

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-02
3. EPSS 更新日2026-04-09

ベンダーが修正を提供していないため、迅速な軽減策が不可欠です。可能な限り早くvanna-aiの新しいバージョンにアップグレードすることを強くお勧めします。その間、追加のセキュリティ対策を講じることができます。例えば、ファイアウォールを通じてAPIアクセスを制限し、信頼できるドメインをホワイトリストに登録します。サーバーログを積極的に監視して、潜在的な攻撃を検出し、対応することが重要です。操作に不可欠でない場合は、影響を受ける機能を一時的に無効にすることを検討してください。厳格なコンテンツセキュリティポリシー（CSP）を実装することで、クロスオリジン攻撃のリスクを軽減できます。