CVE-2026-73678

सारांश

# MindsDB Minds Platform संस्करण 26.1.0 और उससे पहले के संस्करण में अप्रमाणित रिमोट कोड निष्पादन भेद्यता MindsDB Minds Platform संस्करण 26.1.0 और उससे पहले के संस्करण में एक अप्रमाणित रिमोट कोड निष्पादन भेद्यता मौजूद है, जो अप्रमाणित हमलावरों को असुरक्षित `POST /api/v1/responses/` एंडपॉइंट पर तैयार किए गए प्रॉम्प्ट सबमिट करके मनमाने OS कमांड निष्पादित करने की अनुमति देती है। यह एंडपॉइंट Anton एजेंट के स्क्रैचपैड टूल तक पहुँचता है, जो सैंडबॉक्सिंग के बिना हमलावर-प्रभावित Python स्रोत पर `exec()` को कॉल करता है। हमलावर पहले अप्रमाणित `PUT /api/v1/settings/` एंडपॉइंट के माध्यम से अपनी स्वयं की LLM API कुंजी कॉन्फ़िगर कर सकते हैं, फिर एक प्रॉम्प्ट POST कर सकते हैं जो एजेंट को मनमाने Python कोड के साथ स्क्रैचपैड टूल को आमंत्रित करने का निर्देश देता है, जिससे डेस्कटॉप एप्लिकेशन चलाने वाले उपयोगकर्ता के रूप में पूर्ण OS कमांड निष्पादन प्राप्त होता है और SSH कुंजियों, संग्रहीत क्रेडेंशियल्स और पर्यावरण रहस्यों तक पहुँच सक्षम होती है।

• bring-your-own-key-cve-2026-73678-unauthenticated-rce-in-mindsdb-coworkएक्सप्लॉइट

  CVE-2026-73678 के लिए PoC एक्सप्लॉइट: attacker-supplied LLM कुंजी और unsandboxed scratchpad exec के माध्यम से OS कमांड चलाने के लिए MindsDB Cowork में unauthenticated RCE।

• CVE-2026-73678-PoCPoC

  CVE-2026-73678 — MindsDB Minds Platform में बिना प्रमाणीकरण के scratchpad exec के माध्यम से RCE (CVSS 10.0)। वास्तविक LLM के साथ एंड-टू-एंड सत्यापित।