Apa yang terjadi
NeMo Agent Toolkit (advisory 2026/5912, diterbitkan 2026-10-27) mengandung cacat injeksi SQL di mana input yang dirancang dapat mengubah query, memungkinkan manipulasi data, DoS, dan pengungkapan informasi. Ini adalah CVE yang berbeda dalam advisory yang sama dengan cacat autentikasi yang hilang yang telah diungkapkan (CVE-2026-65145).
Mengapa penting
Toolkit agen AI yang menyimpan status agen, riwayat percakapan, atau output alat dalam database dapat memiliki penyimpanan tersebut dirusak atau dieksfiltrasi melalui injeksi SQL, merusak perilaku agen dan membocorkan data sensitif.
Vektor serangan
Penyerang mencapai query database berparameter di permukaan layanan NeMo Agent Toolkit dan menyuntikkan SQL, memungkinkan manipulasi data, penolakan layanan, dan pengungkapan informasi (CVSS 8.4, AV:L).
Sistem yang terdampak
NVIDIA NeMo Agent Toolkit 1.4 hingga 1.6
Mitigasi
Terapkan perbaikan advisory 2026/5912 / rilis toolkit yang telah ditambal (https://github.com/NVIDIA/product-security/tree/main/2026/5912).