CVE-2026-73678 — RCE non autenticata in MindsDB Minds Platform / MindsHub Cowork

PoC per CVE-2026-73678 (CVSS 3.1 10.0 Critico, AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Analisi completa: www.hunt-benito.com/blog/bring-your-own-key-cve-2026-73678-unauthenticated-rce-in-mindsdb-cowork/

Il sidecar FastAPI cowork-server di Cowork espone /api/v1/ senza alcuna autenticazione (CWE-306), con CORS allow_origins=["*"] (CWE-942), e lo strumento scratchpad dell'agente Anton esegue Python generato da LLM tramite una exec() grezza senza sandbox (CWE-94).

Catena di attacco: inserire la chiave LLM dell'attaccante tramite PUT /api/v1/settings/* → POST /api/v1/responses/ con un prompt che fa eseguire all'agente il codice dell'attaccante sulla scratchpad → esecuzione arbitraria di comandi del sistema operativo con i privilegi dell'utente che esegue l'applicazione.

Adattato dal PoC nell'advisory di MindsDB GHSA-jcxw-h8ph-pxpv (crediti: Ho Viet Khanh / HK4zCzi).

Requisiti

• Python 3.9+ (solo libreria standard — nessuna installazione pip)
• Un'istanza Minds Platform / MindsHub Cowork in esecuzione (default 127.0.0.1:26866)
• Una qualsiasi chiave API compatibile con OpenAI o Gemini di proprietà dell'attaccante — non serve nulla dalla vittima

Utilizzo

# against a local dev instance (make dev-web)
python3 shell.py AIzaSy... gemini

# explicit target + model
API=http://127.0.0.1:26866/api/v1 python3 shell.py sk-... openai gpt-4o-mini

[*] Setting provider=gemini model=gemini-2.5-flash
[*] validate: {"status": "ok", "configReady": true, ...}

=======================================================
  RCE SHELL  (type shell commands, 'exit' to quit)
=======================================================
$ id
uid=1000(victim) gid=1000(victim) groups=1000(victim),27(sudo)

Perché il nonce dimostra l'esecuzione

Lo snippet generato calcola os.urandom(4).hex() all'interno del processo della vittima e lo scrive in /tmp/RCE_PROOF.txt. Il prompt dice al modello che non può conoscere il nonce senza eseguire codice. Se il testo restituito contiene un nonce corrispondente al file su disco, il codice è stato dimostrabilmente eseguito — un modello che allucina non può produrlo.

Mitigazioni (se esegui l'applicazione)

export COWORK_REQUIRE_AUTH=true          # auth exists but defaults OFF
export COWORK_AUTH_TOKEN="<long-random>" # or let it auto-generate
export COWORK_ALLOWED_ORIGINS='["http://localhost:26866"]'
# never set COWORK_SERVER_HOST beyond 127.0.0.1; rotate all secrets reachable
# by the account that ran the app

Non esiste alcun tag di release corretto; le correzioni risiedono solo nei rami main di cowork-server/anton.

Note legali

Solo per test di sicurezza autorizzati e attività di ricerca. Non eseguire contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione al test.

Riferimenti

• GHSA-jcxw-h8ph-pxpv: https://github.com/mindsdb/mindshub/security/advisories/GHSA-jcxw-h8ph-pxpv
• NVD CVE-2026-73678: https://nvd.nist.gov/vuln/detail/CVE-2026-73678
• VulnCheck advisory: https://www.vulncheck.com/advisories/mindsdb-minds-platform-unauthenticated-rce-via-scratchpad-exec