ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-30860

Tencent WeKnora

WeKnora: Remote Code Execution via SQL Injection Bypass in AI Database Query Tool

CVSS 3.1
10.0بحرانی

شرح رسمی (انگلیسی)

WeKnora is an LLM-powered framework designed for deep document understanding and semantic retrieval. Prior to version 0.2.12, a remote code execution (RCE) vulnerability exists in the application's database query functionality. The validation system fails to recursively inspect child nodes within PostgreSQL array expressions and row expressions, allowing attackers to bypass SQL injection protections. By smuggling dangerous PostgreSQL functions inside these expressions and chaining them with large object operations and library loading capabilities, an unauthenticated attacker can achieve arbitrary code execution on the database server with database user privileges. This issue has been patched in version 0.2.12.

امتیازهای CVSS

امتیازنسخهمنبعبردار
10.0بحرانی 3.1 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
Tencent WeKnora < 0.2.12 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۴/۱۲/۱۶
آخرین به‌روزرسانی
۱۴۰۴/۱۲/۱۸
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۷۳٪
احتمال بهره‌برداری در ۳۰ روز
۵۴٫۶٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-89
    Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')