Apa yang terjadi
SQLBot's data-preview endpoint rentan terhadap SQL injection via unsanitized table name parameter.
Mengapa penting
Melanjutkan pattern unsafe SQL construction di seluruh SQLBot's datasource-handling endpoints dalam LLM/RAG-based query tool ini.
Vektor serangan
POST /api/v1/datasource/previewData endpoint menggabungkan client-controlled table_name value ke dalam generated SQL tanpa safe identifier handling.
Sistem yang terdampak
SQLBot < 1.9.0
Mitigasi
Upgrade ke SQLBot 1.9.0 atau lebih baru.