PT-2024-20058 · Pandasai · Pandasai

Fubuki8087 · Publicado 2024-01-21 · Atualizado 2024-01-29 · CVE-2024-23752

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

PandasAI (também conhecido como pandas-ai) versões 1.5.17 e anteriores

Descrição

A vulnerabilidade permite que invasores provoquem a geração de código Python arbitrário, executado pelo SDFCodeExecutor. Um invasor pode criar um dataframe que forneça uma especificação em inglês desse código Python. Isso é possível devido a uma falha no GenerateSDFPipeline no synthetic dataframe.

Recomendações

Para as versões 1.5.17 e anteriores, como solução temporária, considere desativar a função GenerateSDFPipeline no synthetic dataframe até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Missing Authorization

Code Injection

Enumeração de Fraquezas

CWE-862

CWE-94

Identificadores relacionados

CVE-2024-23752

GHSA-5G73-69P4-7GVX

Produtos afetados

Pandasai

Referências · 8

• 🔥 https://github.com/gventuri/pandas-ai/issues/868 · Exploit
• https://github.com/gventuri/pandas-ai · Nota
• https://t.me/cvenotify/69127 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-23752 · Nota de Segurança
• https://twitter.com/CVEnew/status/1749253635647877224 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1749318390869590104 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-23752 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5g73-69p4-7gvx · Aviso do Fabricante