vanna-ai vanna Chat API Endpoint v2 mist authenticatie

Een kritieke kwetsbaarheid is ontdekt in vanna-ai vanna tot versie 2.0.2, beoordeeld met een CVSS-score van 7.3. Deze beveiligingsfout heeft betrekking op de chat API, specifiek het eindpunt /api/vanna/v2/, waardoor authenticatie omzeild kan worden. Dit betekent dat een aanvaller toegang kan krijgen tot beschermde functionaliteiten zonder geldige inloggegevens. De exploitatie is remote, wat het risico aanzienlijk vergroot, aangezien deze vanaf elke locatie met netwerktoegang kan worden geïnitieerd. De ernst van de situatie wordt verergerd doordat de exploit nu openbaar is, waardoor het gebruik ervan door kwaadwillende actoren wordt vergemakkelijkt. Het is belangrijk op te merken dat de leverancier niet heeft gereageerd op vroege meldingen over deze kwetsbaarheid, wat de beschikbaarheid van een officiële oplossing belemmert.

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. Gereserveerd2026-04-01
2. Gepubliceerd2026-04-02
3. EPSS bijgewerkt2026-04-09

Aangezien de leverancier geen fix heeft geleverd, is onmiddellijke mitigatie cruciaal. We raden ten zeerste aan om te upgraden naar een latere versie van vanna-ai zodra deze beschikbaar is. Ondertussen moeten aanvullende beveiligingsmaatregelen worden geïmplementeerd om het systeem te beschermen. Dit kan netwerksegmentatie omvatten om de toegang tot het kwetsbare eindpunt te beperken, het implementeren van firewalls met restrictieve regels en het continu monitoren van netwerkactiviteit op tekenen van exploitatie. Verder moeten API-toegangsbeleid worden herzien en versterkt om de potentiële impact van een succesvolle exploitatie te minimaliseren. Het uitblijven van een reactie van de leverancier benadrukt het belang van een robuust incident response plan.