「Minds Platform」の脆弱性 CVE-2026-73678: コードインジェクション
| CVE ID | CVE-2026-73678 |
|---|---|
| 対象製品 | Minds Platform (MindsDB) |
| 影響バージョン |
|
| CVSS | 10.0 / 10
(緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
| CWE | CWE-94 (コードインジェクション) |
| 公開日 | |
| 更新日 |
どんな危険があるか
MindsDB Minds Platformのバージョン26.1.0以前には、認証されていないリモートコード実行の脆弱性が存在します。攻撃者は、保護されていない/api/v1/responses/エンドポイントに細工されたプロンプトを送信することで、任意のOSコマンドを実行できます。これは、Antonエージェントのスクラッチパッドツールがサンドボックスなしで攻撃者が影響を与えたPythonソースに対してexec()を呼び出すために発生します。結果として、デスクトップアプリケーションを実行しているユーザーとしてOSコマンド実行を達成し、SSHキー、保存された認証情報、環境シークレットへのアクセスが可能になります。
今すぐやること
MindsDB Minds Platformの利用者は、ベンダーが提供するセキュリティアドバイザリ（GHSA-jcxw-h8ph-pxpv）を確認し、推奨される対策を速やかに適用してください。影響を受けるバージョンは26.1.0以前とされています。認証なしでリモートコード実行が可能であるため、システムへの深刻な影響を避けるために早急な対応が求められます。
出典
本ページの情報は公開時点 () のものです。最新情報は上記の出典を確認してください。
本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。
脆弱性データの一部は採番機関 (CNA) 「VulnCheck」のアドバイザリを出典としています。 データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。