QAnything delete_files SQL注入漏洞（CVE-2024-7099）

北京赛克艾威科技有限公司 2024-10-14

漏洞编号：CVE-2024-7099
漏洞等级：高危
漏洞标签：POC已公开
发布时间：2024-10-14

漏洞描述

QAnything是一个使用大模型及RAG（检索增强生成）能力构建的本地知识库问答系统，其旧版本组件mysql\_client存在多个SQL注入漏洞，受影响的接口包括: get\_knowledge\_base\_name、from\_status\_to\_status、delete\_files和get\_file\_by\_status。未经授权的远程攻击者可以利用该漏洞执行SQL语句，导致系统内的敏感信息泄漏；在数据库安全配置不当的情况下，攻击者可在数据库所在的服务器上执行任意代码，导致服务器失陷。