vanna-ai vanna Chat API Endpoint v2 com autenticação em falta

Uma vulnerabilidade crítica foi identificada no vanna-ai vanna até a versão 2.0.2, classificada com um CVSS de 7.3. Esta falha de segurança afeta a API de chat, especificamente o endpoint /api/vanna/v2/, permitindo uma omissão de autenticação. Isso significa que um atacante pode acessar funcionalidades protegidas sem a necessidade de credenciais válidas. A exploração é remota, o que amplia significativamente o risco, pois pode ser iniciada de qualquer lugar com acesso à rede. A gravidade da situação é agravada pelo fato de que a exploração já é pública, facilitando seu uso por parte de agentes maliciosos. É importante destacar que o fornecedor não respondeu às notificações antecipadas sobre esta vulnerabilidade, o que dificulta a disponibilidade de uma solução oficial.

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-02
3. EPSS atualizado2026-04-09

Dado que o fornecedor não forneceu uma solução (fix), a mitigação imediata é crucial. Recomenda-se fortemente atualizar para uma versão posterior do vanna-ai assim que estiver disponível. Enquanto isso, medidas de segurança adicionais devem ser implementadas para proteger o sistema. Isso pode incluir a segmentação da rede para limitar o acesso ao endpoint vulnerável, a implementação de firewalls com regras restritivas e o monitoramento constante da atividade da rede em busca de sinais de exploração. Além disso, sugere-se revisar e reforçar as políticas de acesso à API para minimizar o impacto potencial de uma exploração bem-sucedida. A falta de resposta do fornecedor sublinha a importância de ter um plano de resposta a incidentes robusto.