Kritische Schwachstelle in DB-GPT v0.8.1 ermöglicht Dateischreiben und Codeausführung (CVE-2026-73034)
In DB-GPT Version 0.8.1 wurde eine kritische Sicherheitslücke entdeckt (CVE-2026-73034). Diese Schwachstelle, bekannt als 'Path Traversal', erlaubt es Angreifern, ohne vorherige Authentifizierung beliebige Dateien auf dem Server zu speichern.
Was ist passiert?
In DB-GPT Version 0.8.1 wurde eine kritische Sicherheitslücke entdeckt (CVE-2026-73034). Diese Schwachstelle, bekannt als 'Path Traversal', erlaubt es Angreifern, ohne vorherige Authentifizierung beliebige Dateien auf dem Server zu speichern. Durch das Einschleusen spezieller Zeichen in den 'user_id' HTTP-Header beim Dateiupload können Angreifer den vorgesehenen Upload-Pfad verlassen. Dies ermöglicht das Schreiben von schädlichem Inhalt an kritische Stellen, was zur Ausführung von Fremdcode führen kann.
Wer ist betroffen?
Betroffen sind Unternehmen, die DB-GPT in der Version 0.8.1 einsetzen. Da die Schwachstelle keine Authentifizierung erfordert, ist jedes System mit dieser spezifischen Version potenziell angreifbar. Es liegen derzeit keine gesicherten Angaben vor, ob auch andere Versionen betroffen sind.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'CRITICAL' eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 5 %, was als moderat zu bewerten ist. Laut CISA KEV (Known Exploited Vulnerabilities) ist diese Schwachstelle derzeit nicht aktiv ausgenutzt.
Was ist jetzt zu tun?
Prüfen Sie umgehend, ob Sie DB-GPT in der Version 0.8.1 einsetzen. Falls ja, suchen Sie nach einem offiziellen Sicherheitsupdate oder einem Patch des Herstellers. Bis zur Bereitstellung einer Lösung sollten Sie prüfen, ob der Zugriff auf die betroffenen Systeme eingeschränkt werden kann, um das Risiko zu minimieren.
Quellen: NVD (CVE-2026-73034), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.