CVE-2026-5320: 身份验证缺失漏洞在 vanna-ai vanna 中

vanna-ai vanna 在 2.0.2 版本之前发现了一个关键漏洞，CVSS 评分达到 7.3。此安全缺陷影响聊天 API，特别是 /api/vanna/v2/ 端点，允许绕过身份验证。这意味着攻击者无需有效凭证即可访问受保护的功能。由于利用是远程的，因此风险会大大增加，因为它可以从任何具有网络访问权限的地方发起。漏洞公开的事实加剧了局势，因为它使得恶意行为者更容易利用。重要的是要注意，供应商尚未对有关此漏洞的早期通知做出响应，这阻碍了官方修复程序的可用性。

Organizations utilizing vanna-ai vanna in production environments, particularly those exposing the /api/vanna/v2/ endpoint to external networks, are at significant risk. Shared hosting environments where multiple users share the same vanna-ai vanna instance are also vulnerable, as a compromise of one user could potentially lead to the compromise of others.

• python / server:

import requests
import json

url = 'http://your-vanna-server/api/vanna/v2/'

try:
    response = requests.get(url, headers={'Authorization': 'Bearer '})
    response.raise_for_status()
    data = response.json()
    print(f"Response: {data}")
except requests.exceptions.HTTPError as e:
    print(f"Error: {e}")
except Exception as e:
    print(f"An unexpected error occurred: {e}")

• generic web:

curl -I http://your-vanna-server/api/vanna/v2/ | grep -i 'WWW-Authenticate'

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-04-01
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-09

由于供应商尚未提供修复程序，因此立即采取缓解措施至关重要。我们强烈建议尽快升级到 vanna-ai 的更新版本。同时，应实施额外的安全措施以保护系统。这可能包括网络分段以限制对易受攻击端点的访问、实施具有限制性规则的防火墙以及持续监控网络活动以寻找利用迹象。此外，应审查并加强 API 访问策略，以最大限度地减少成功利用的潜在影响。供应商的未响应突出了拥有健全的事件响应计划的重要性。