vanna-ai 2.0.2 FastAPI/Flask 跨域策略漏洞 (CVE-2026-5321)

根据用户的要求，我需要从提供的网页截图中提取关于漏洞的关键信息，并用简洁的中文markdown格式进行总结。 1. 漏洞概述 (Vulnerability Overview): 标题: VANNA-AI VANNA UP TO 2.0.2 FASTAPI/FLASK SERVER CROSS-DOMAIN POLICY (Vanna-AI Vanna 2.0.2 及以下版本 FastAPI/Flask 服务器跨域策略漏洞) CVE编号: CVE-2026-5321 (注意：截图中的CVE编号看起来像是未来的或者虚构的，因为年份是2026，但这不影响提取信息，照实记录即可) CVSS评分: 3.9 (Medium/中等) 当前利用价格: $0-$5k CTI兴趣评分: 1.20 摘要 (Summary): 在 vanna-ai vanna 2.0.2 及以下版本中发现了一个漏洞。它被归类为 critical（严重）。这影响了 FastAPI/Flask Server 组件的未知部分。操作导致跨域策略（Cross-Domain Policy）漏洞。该漏洞被列为 CVE-2026-5321。攻击可以远程发起。此外，还有一个利用程序（exploit）可用。供应商在披露早期被联系，但未回应。 详情 (Details): 再次确认了漏洞存在于 vanna-ai vanna 2.0.2 及以下版本。这是一个问题。它影响了 FastAPI/Flask Server 组件的未知代码块。使用未知输入进行操作会导致跨域策略漏洞。使用 CWE 声明问题导致 CWE-942。产品使用包含不应被信任的域的跨域策略。完整性（Integrity）受到影响。 利用难度: 已知容易（easy）。 技术细节: 未知。 POC/Exploit: 提到 exploit 在 github.com 上可用，并声明为概念验证（proof-of-concept）。 2. 影响范围 (Affected Scope): 软件: vanna-ai vanna 版本: 2.0.2 及以下 (up to 2.0.2) 组件: FastAPI/Flask Server CWE: CWE-942 (Cross-Domain Policy) 3. 修复方案 (Remediation): 截图中没有明确提到具体的修复版本或补丁。 提到供应商被联系但未回应。 提到 exploit 在 github 上可用。 4. 代码提取 (Code Extraction): 仔细查看截图，虽然文字提到了 "The exploit is available at github.com" 和 "It is declared as a proof-of-concept"，但截图中并没有显示具体的代码块。只有文字描述。 因此，无法提取代码块。 5. 总结构建: 将上述信息整合成简洁的中文markdown。 注意：虽然摘要里写了 "critical"，但CVSS分数是3.9（通常属于Low或Medium），这里可能存在描述上的矛盾，但我主要依据截图文字。摘要里明确写了 "classified as critical"。 关于CVE编号：截图显示 CVE-2026-5321，这非常奇怪（未来年份），可能是测试数据或伪造的，但我必须如实记录截图内容。 最终输出结构: 漏洞标题 漏洞概述 (包含摘要和详情) 影响范围 (版本、组件、CWE) 修复方案 (无明确方案，仅提到POC位置) POC/Exploit (说明无代码块，仅提及位置) Let's refine the "Remediation" part. The text says "The vendor was contacted early about this disclosure but did not respond in any way." and "The exploit is available at github.com". It doesn't give a fix. So I will state that no fix is mentioned. Let's refine the "Code" part. The prompt asks to extract code if present. Since there is no code block visible, I will mention that the text says it's on GitHub but no code is visible in the screenshot. Wait, looking closer at the bottom, there is a red bar "There is no information about possible countermeasures...". This confirms no fix is listed. Okay, ready to generate the response. 漏洞关键信息总结 漏洞标题 Vanna-AI Vanna 2.0.2 及以下版本 FastAPI/Flask 服务器跨域策略漏洞 (Cross-Domain Policy) 漏洞概述 CVE编号: CVE-2026-5321 CVSS评分: 3.9 (截图摘要中描述为 critical，但分数较低) 漏洞类型: 跨域策略漏洞 (Cross-Domain Policy)，对应 CWE-942。 描述: 在 2.0.2 及以下版本中发现漏洞。该漏洞影响 FastAPI/Flask Server 组件的未知部分。由于使用了包含不应被信任的域的跨域策略，导致完整性（Integrity）受损。攻击者可以使用未知输入远程发起攻击。 利用难度: 已知容易 (easy)。 供应商响应: 披露早期已联系供应商，但未获回应。 影响范围 受影响软件: 受影响版本: 2.0.2 及以下 (up to 2.0.2) 受影响组件: FastAPI/Flask Server 修复方案 截图中未提供具体的修复版本或补丁信息。 页面底部提示暂无关于可能对策的信息。 POC/Exploit 代码 截图中未包含具体的代码块。 文字描述指出：利用程序（exploit）可在 github.com 上获取，且被声明为概念验证（proof-of-concept）。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

vanna-ai 2.0.2 FastAPI/Flask 跨域策略漏洞 (CVE-2026-5321)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！