A vulnerability has been found in eosphoros-ai DB-GPT up to 0.7.5. This issue affects the function module_plugin.refresh_plugins of the file packages/dbgpt-serve/src/dbgpt_serve/agent/hub/controller.py of the component FastAPI Endpoint. Such manipulation leads to unrestricted upload. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
DB-GPT versions up to 0.7.5 contain an unrestricted file upload vulnerability in the plugin refresh endpoint that allows remote attackers to upload arbitrary files. This vulnerability affects the FastAPI endpoint responsible for plugin management and could lead to unauthorized code execution.
تؤثر هذه الثغرة على وحدة module_plugin.refresh_plugins في ملف controller.py وتسمح بتحميل ملفات عشوائية دون قيود. تم الكشف عن الثغرة علناً والاستغلال متاح للجمهور، مما يزيد من خطر الهجمات الفعلية. لم يستجب البائع للإشعارات المبكرة بشأن هذه الثغرة.
DB-GPT إصدارات تصل إلى 0.7.5 تحتوي على ثغرة تحميل ملفات غير مقيدة في نقطة نهاية تحديث المكونات الإضافية التي تسمح للمهاجمين البعيدين بتحميل ملفات عشوائية. قد تؤدي هذه الثغرة إلى تنفيذ كود غير مصرح به على الأنظمة المتأثرة.
Upgrade DB-GPT to version 0.7.6 or later immediately. Implement network-level access controls to restrict access to the plugin refresh endpoint. Apply input validation and file type restrictions on the FastAPI endpoint. Monitor for suspicious file uploads and implement Web Application Firewall (WAF) rules to block unauthorized plugin uploads.
قم بترقية DB-GPT إلى الإصدار 0.7.6 أو أحدث فوراً. طبق عناصر تحكم الوصول على مستوى الشبكة لتقييد الوصول إلى نقطة نهاية تحديث المكونات الإضافية. طبق التحقق من صحة المدخلات وقيود نوع الملف على نقطة نهاية FastAPI. راقب عمليات التحميل المريبة وطبق قواعد جدار الحماية لتطبيقات الويب لحظر تحميل المكونات الإضافية غير المصرح بها.