Penjelasan teknis
Kerentanan SQL injection ditemukan di pandas-ai versi 3.0.0 dalam komponen pandasai.agent.base._execute_sql_query, memungkinkan penyerang untuk menjalankan perintah SQL arbitrer.
Vektor serangan
Input berbahaya ke komponen eksekusi query pandas-ai dapat melewati sanitasi input, memungkinkan eksekusi perintah SQL arbitrer terhadap basis data backend.
Sistem yang terdampak
Instalasi pandas-ai versi 3.0.0 dengan konektivitas basis data.
Mitigasi
Tingkatkan pandas-ai ke versi terbaru yang sudah diperbaiki. Implementasikan validasi input dan query berparameter. Batasi hak istimewa pengguna basis data untuk koneksi pandas-ai.