CVE-2026-8335 — Endpoint Aix-DB LLM Memungkinkan Eksekusi Kueri SQL Tanpa Autentikasi Terhadap Database Aplikasi

Endpoint '/llm/process_llm_out' aplikasi Aix-DB — dirancang untuk memproses output LLM dan menulisnya ke database — tidak memiliki validasi token yang ada di semua endpoint aplikasi lainnya. Klien tanpa autentikasi dapat mengirimkan kueri SQL SELECT arbitrer ke endpoint ini dan mengambil data langsung dari database. Semua rilis hingga dan termasuk versi 1.2.4 terpengaruh. CVSS 7.1 (High). Diungkapkan oleh CERT.pl pada 10 Juni 2026.

HTTP POST tanpa autentikasi ke endpoint /llm/process_llm_out dengan payload SQL SELECT yang dirancang; tidak diperlukan kredensial atau token sesi. Endpoint dirancang untuk menerima output LLM yang telah diproses dan mengasumsikan semua pemanggil bersifat internal, tetapi dapat diakses melalui jaringan.

Versi Aix-DB ≤ 1.2.4; aplikasi database yang ditingkatkan AI yang dibangun di platform Aix-DB.

Terapkan validasi token ke endpoint /llm/process_llm_out segera (setara dengan kontrol autentikasi di semua endpoint lainnya); batasi akses jaringan ke endpoint hanya untuk pemanggil internal terpercaya sambil menunggu patch; tinjau log akses database untuk kueri SELECT yang tidak sah melalui endpoint ini.