vanna-ai vanna Política entre domínios do Servidor FastAPI/Flask

Uma vulnerabilidade crítica foi descoberta no vanna-ai vanna até a versão 2.0.2, afetando uma funcionalidade desconhecida dentro do servidor FastAPI/Flask. Essa falha permite a configuração de uma política de origem cruzada permissiva, o que pode permitir que domínios não confiáveis acessem dados confidenciais ou executem ações não autorizadas. A vulnerabilidade pode ser explorada remotamente, aumentando significativamente o risco. A publicação de um exploit público agrava a situação, pois facilita seu uso por atacantes. A falta de resposta do fornecedor às notificações antecipadas de divulgação é preocupante e dificulta a aplicação de soluções.

Organizations deploying vanna-ai vanna in production environments, particularly those with sensitive data or exposed APIs, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as a compromise of one user's environment could potentially impact others.

• python / server:

# Check for vanna-ai vanna version
pip show vanna-ai-vanna

• generic web:

# Check for CORS misconfiguration using curl
curl -I https://your-vanna-ai-vanna-instance/  # Look for Access-Control-Allow-Origin: *

1. 2026-04-02Disclosure

   disclosure

1. Reservado2026-04-01
2. Publicada2026-04-02
3. EPSS atualizado2026-04-09

Dado que o fornecedor não forneceu uma solução, a mitigação imediata é crucial. Recomenda-se fortemente atualizar para uma versão posterior do vanna-ai assim que estiver disponível. Enquanto isso, medidas de segurança adicionais podem ser implementadas, como restringir o acesso à API por meio de firewalls e listas de permissão de domínios confiáveis. Monitorar ativamente os logs do servidor em busca de atividades suspeitas é essencial para detectar e responder a possíveis ataques. Considere desativar temporariamente a funcionalidade afetada se não for essencial para as operações. A implementação de uma Política de Segurança de Conteúdo (CSP) rigorosa pode ajudar a mitigar o risco de ataques de origem cruzada.