- Son 7 gün
- CWE-74
- CWE-94
CVE-2026-123018
DB-GPT CodeAction bileşeninde kod enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, yapay zekâ destekli veri analizi aracı DB-GPT'nin belirli sürümlerini etkilemektedir ve uzaktan, kolayca istismar edilebilir durumdadır. Saldırganların sisteme zarar verme ya da veri çalma riski yüksektir ve kullanılabilir bir istismar kodu zaten kamuya açıktır. Bu nedenle etkilenen sürümler kullanılıyorsa acil önlem alınması önerilir.
ÖzetTürkçe
DB-GPT projesinin 0.8.0, 0.8.1 ve 0.8.2 sürümlerinde, CodeAction bileşeninin code_utils.py dosyasındaki execute_code fonksiyonunda bir kod enjeksiyonu güvenlik açığı tespit edilmiştir. Açık, uzaktan ve kimlik doğrulaması olmadan tetiklenebilmektedir. Açık için halka açık bir istismar kodu yayımlanmıştır ve proje yöneticilerine erken aşamada bildirilmesine rağmen henüz yanıt verilmemiştir.
Saldırgan ne yapabilir?
Saldırgan, sistem üzerinde kendi hazırladığı kodu çalıştırarak verileri okuyabilir, değiştirebilir ya da hizmeti kesintiye uğratabilir. Etkilenen sistemin tamamen ele geçirilmesi de mümkündür.
Kaynaktaki açıklama (İngilizce)
A security flaw has been discovered in eosphoros-ai DB-GPT up to 0.8.2. This issue affects the function execute_code of the file code_utils.py of the component CodeAction. Performing a manipulation results in code injection. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Etkilenen DB-GPT sürümlerini (0.8.0, 0.8.1, 0.8.2) kullanan sistemleri tespit edin ve bu sürümlerden hemen uzaklaşın. Genel öneri
- Proje tarafından henüz bir düzeltme sürümü açıklanmadığından, resmi yama veya güncelleme yayımlanana kadar CodeAction bileşenini devre dışı bırakın ya da erişimini kısıtlayın. Genel öneri
- DB-GPT hizmetine yalnızca güvenilen ağlardan ve kimliği doğrulanmış kullanıcılardan erişime izin verecek şekilde güvenlik duvarı ve erişim kurallarını sıkılaştırın. Genel öneri
- Yayımlanacak resmi düzeltme sürümünü takip edin ve çıktığında hemen uygulayın. Genel öneri
Ek önlemler
- Sunucu süreçlerini en az yetkili bir hesapla çalıştırarak olası bir kod çalıştırma durumunda zararı sınırlandırın. Genel öneri
- Uygulama ve sunucu günlüklerini olağandışı komut çalıştırma ya da beklenmeyen dış bağlantılar açısından izleyin. Genel öneri
- Yapay zekâ araçlarının kullanıcı girdilerini doğrudan kod olarak çalıştırmasını engelleyecek şekilde yapılandırmaları gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| eosphoros-ai DB-GPT | 0.8.0 | – |
| 0.8.1 | – | |
| 0.8.2 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-123018 Üçüncü taraf
- vuldb.com/submit/1033094 Üçüncü taraf
- github.com/eosphoros-ai/DB-GPT/issues/3287 Üçüncü taraf
- github.com/…action-native-subprocess-llm-code-execution.md İstismar kodu ya da analiz
- vuldb.com/vuln/431392 Diğer
- vuldb.com/vuln/431392/cti Diğer
- github.com/eosphoros-ai/DB-GPT Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.