Platform
python
Component
mindsdb
Opgelost in
25.11.2
25.11.1
CVE-2025-68472 beschrijft een Denial of Service (DoS) kwetsbaarheid in mindsdb, versie 25.9.3rc1 en lager. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om via een path traversal willekeurige bestanden van de server te lezen en te verplaatsen, wat kan leiden tot data-exfiltratie en potentieel tot systeeminstabiliteit. De kwetsbaarheid is ontdekt door BlueRock en is op 12 januari 2026 openbaar gemaakt. Een fix is beschikbaar in versie 25.11.1.
Deze path traversal kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerd toegang te krijgen tot gevoelige data op de server waarop mindsdb draait. Door de PUT handler in file.py te misbruiken, kan een aanvaller willekeurige bestanden van het bestandssysteem lezen en deze verplaatsen naar de opslag van MindsDB. Dit kan leiden tot het blootleggen van configuratiebestanden, database credentials, of andere gevoelige informatie. De impact is verhoogd doordat de kwetsbaarheid unauthenticated is, wat betekent dat geen authenticatie vereist is om de aanval uit te voeren. Dit maakt het een aantrekkelijk doelwit voor kwaadwillenden.
De kwetsbaarheid is openbaar gemaakt op 12 januari 2026. Er zijn momenteel geen bekende actieve campagnes die deze specifieke kwetsbaarheid misbruiken, maar de unauthenticated aard ervan maakt het een potentieel aantrekkelijk doelwit. Er zijn publieke proof-of-concept exploits beschikbaar, wat de kans op misbruik vergroot. De kwetsbaarheid is niet opgenomen in de CISA KEV catalogus op het moment van schrijven.
Organizations utilizing MindsDB for AI development and deployment, particularly those storing sensitive data within the platform, are at risk. Environments with limited network segmentation or inadequate input validation on file upload endpoints are especially vulnerable. Shared hosting environments running MindsDB are also at increased risk due to potential cross-tenant access.
• python / server:
grep -r "file.py" /opt/mindsdb/app/mindsdb/
grep -r "source_type is not " url"" /opt/mindsdb/app/mindsdb/file.pydisclosure
Exploit Status
EPSS
0.45% (64% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar versie 25.11.1 of hoger van mindsdb, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de file upload API. Implementeer een Web Application Firewall (WAF) met regels om path traversal pogingen te detecteren en te blokkeren. Controleer de configuratie van mindsdb om te verzekeren dat de tijdelijke directory correct is geconfigureerd en niet toegankelijk is vanaf het internet. Monitor de logs van mindsdb op verdachte activiteiten, zoals ongebruikelijke bestandstoegangs pogingen.
Actualice MindsDB a la versión 25.11.1 o superior. Esta versión corrige la vulnerabilidad de path traversal en la API de carga de archivos, evitando la lectura de archivos arbitrarios y la exposición de datos sensibles.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-68472 is a Path Traversal vulnerability in MindsDB versions up to 25.9.3rc1, allowing unauthenticated attackers to read sensitive files.
You are affected if you are running MindsDB version 25.9.3rc1 or earlier. Upgrade to 25.11.1 to resolve the issue.
Upgrade MindsDB to version 25.11.1 or later. As a temporary workaround, restrict network access to the file upload API.
There is no confirmed active exploitation of CVE-2025-68472 at this time, but the HIGH severity score warrants immediate attention.
Refer to the official MindsDB security advisory for detailed information and updates regarding CVE-2025-68472.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.