平台
python
组件
vanna
修复版本
2.0.1
2.0.2
2.0.3
CVE-2026-5321 是 vanna-ai vanna 2.0.0 到 2.0.2 版本中发现的一个安全漏洞，允许攻击者利用不信任的域执行跨域策略，从而可能导致敏感信息泄露或恶意代码执行。该漏洞影响 FastAPI/Flask Server 组件，攻击可以远程发起。目前，供应商尚未发布官方补丁来修复此漏洞，建议用户采取缓解措施。
在 vanna-ai vanna 的 2.0.2 版本及更早版本中发现了一个关键漏洞，影响了 FastAPI/Flask 服务器中一个未知的函数。此漏洞允许配置宽容的跨域策略，可能允许不受信任的域名访问敏感数据或执行未经授权的操作。该漏洞可以远程利用，从而大大增加了风险。公开利用漏洞进一步恶化了情况，因为它使得攻击者更容易利用此漏洞。供应商对早期披露通知的回应不足令人担忧，并阻碍了补救工作。
CVE-2026-5321 的功能性利用漏洞的公开发布大大增加了被利用的风险。攻击者现在拥有了一种经过验证的工具来利用此漏洞。利用的远程性质意味着暴露于互联网的系统特别容易受到攻击。供应商的回应不足表明没有立即可用的修复程序，这使得缓解措施更加关键。系统管理员应评估其系统的暴露情况并立即采取措施进行保护。
Organizations deploying vanna-ai vanna in production environments, particularly those with sensitive data or exposed APIs, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as a compromise of one user's environment could potentially impact others.
• python / server:
# Check for vanna-ai vanna version
pip show vanna-ai-vanna• generic web:
# Check for CORS misconfiguration using curl
curl -I https://your-vanna-ai-vanna-instance/ # Look for Access-Control-Allow-Origin: *disclosure
漏洞利用状态
EPSS
0.01% (0% 百分位)
CISA SSVC
鉴于供应商没有提供修复程序，立即采取缓解措施至关重要。强烈建议尽快升级到 vanna-ai 的更新版本。同时，可以实施额外的安全措施，例如通过防火墙限制 API 访问以及将受信任的域名列入白名单。主动监控服务器日志以查找可疑活动对于检测和响应潜在攻击至关重要。如果该功能对操作不是必需的，请考虑暂时禁用受影响的功能。实施严格的内容安全策略 (CSP) 可以帮助减轻跨域攻击的风险。
Actualice la biblioteca vanna-ai vanna a una versión posterior a 2.0.2. Esto solucionará la política de dominio cruzado permisiva con dominios no confiables. Consulte la documentación del proveedor para obtener instrucciones específicas sobre cómo actualizar la biblioteca.
漏洞分析和关键警报直接发送到您的邮箱。
这意味着服务器允许来自任何域的请求，而无需验证其是否受信任，这可能允许攻击者访问信息或执行未经授权的操作。
如果您使用的是 vanna-ai vanna 2.0.2 或更早版本，则很可能受到影响。请检查服务器日志中是否有异常活动。
立即将系统从网络断开，并进行法医调查以确定破坏的范围。咨询安全专家。
通过防火墙限制 API 访问以及将受信任的域名列入白名单可以帮助减轻风险。
供应商的回应不足令人担忧，并阻碍了补救工作。监控情况并寻找更新。
CVSS 向量
上传你的 requirements.txt 文件，立即知道是否受影响。