SQLBot（Text-to-SQL/RAG系统） — 通过Excel数据源表名配置的SQL注入

SQLBot的Excel数据源摄取路径在将用户提供的表名合并到生成的SQL之前未能安全引用，从而产生SQL注入漏洞。

SQLBot的核心功能是通过LLM/RAG管道将自然语言转换为SQL；数据源配置层的注入可能允许已认证的攻击者通过AI查询接口操纵或泄露超出其预期范围的数据。

已认证的用户在通过POST /api/v1/datasource/提交的Excel数据源配置中提供精心构造的sheet['tableName']值，而SQLBot存储该值时未进行安全标识符引用，稍后在生成的SQL中不安全地使用该值。

SQLBot < 1.9.0

升级到SQLBot 1.9.0或更高版本。