vanna-ai up to 2.0.2 FastAPI/Flask Cross-Domain Policy Vulnerability (CVE-2026-5321)

1. 脆弱性の概要 (Vulnerability Overview): タイトル: VANNA-AI VANNA 2.0.2 以下の FastAPI/Flask サーバーのクロスドメインポリシー脆弱性 (Vanna-AI Vanna 2.0.2 及以下版本 FastAPI/Flask 服务器跨域策略漏洞) CVE番号: CVE-2026-5321 (注: 画像のCVE番号は2026年という未来の日付を示しており、架空またはテストデータである可能性がありますが、情報はそのまま記録します) CVSSスコア: 3.9 (Medium/中程度) 現在のエクスプロイト価格: $0-$5k CTI関心度スコア: 1.20 サマリー (Summary): vanna-ai vanna 2.0.2 以下のバージョンで脆弱性が発見されました。重大度(critical)に分類されています。これは FastAPI/Flask Server コンポーネントの不明な部分に影響を与えています。攻撃によりクロスドメインポリシー(Cross-Domain Policy)の脆弱性が引き起こされます。この脆弱性は CVE-2026-5321 としてリストされています。攻撃はリモートから実行可能です。さらに、エクスプロイトが存在します。ベンダーには公開の初期段階で連絡が取れましたが、反応はありませんでした。 詳細 (Details): vanna-ai vanna 2.0.2 以下のバージョンに脆弱性が存在することを再度確認しました。これは FastAPI/Flask Server コンポーネントの不明なコードブロックに影響します。不明な入力を用いた操作によりクロスドメインポリシーの脆弱性が生じます。この問題は CWE-942 に該当すると声明されています。製品は信頼すべきではないドメインを含むクロスドメインポリシーを使用しています。整合性(Integrity)が影響を受けています。 エクスプロイト難易度: 容易 (easy) であることが知られています。 技術的詳細: 不明。 POC/Exploit: github.com 上でエクスプロイトが利用可能であり、概念実証(Proof-of-Concept)として宣言されています。 2. 影響範囲 (Affected Scope): ソフトウェア: vanna-ai vanna バージョン: 2.0.2 以下 (up to 2.0.2) コンポーネント: FastAPI/Flask Server CWE: CWE-942 (Cross-Domain Policy) 3. 修正方法 (Remediation): 画像内に具体的な修正バージョンやパッチに関する言及はありません。 ベンダーに連絡が取れたが応答なかったと記載されています。 エクスプロイトが github 上で利用可能であると記載されています。 4. コード抽出 (Code Extraction): 画像を注意深く確認すると、テキストで "The exploit is available at github.com" および "It is declared as a proof-of-concept" と言及されていますが、画像内には具体的なコードブロックは表示されていません。テキスト記述のみです。 したがって、コードブロックは抽出できません。 5. まとめ構築: 上記の情報を簡潔な日本語Markdown形式で統合します。 注意: サマリーでは "critical" と記載されていますが、CVSSスコアは3.9です（通常はLowまたはMediumに分類されます）。ここには記述上の矛盾がありますが、主に画像の文字情報に基づきます。サマリーには明確に "classified as critical" と書かれています。 CVE番号について: 画像には CVE-2026-5321 と表示されており、非常に不自然です（未来の日付）。テストデータまたは偽造の可能性があります。しかし、画像の内容を正直に記録します。 最終出力構造: 脆弱性タイトル 脆弱性概要 (サマリーと詳細を含む) 影響範囲 (バージョン、コンポーネント、CWE) 修正方法 (明確な対応策は記載なし、POCの位置のみ言及) POC/Exploit** (コードブロックなし、位置のみ言及) 「修正方法」部分を検証します。テキストには「この開示についてベンダーに早期に連絡しましたが、一切応答がありません」とあり、「エクスプロイトは github.com で入手可能です」とあります。修正方法は記載されていません。したがって、修正方法が記載されていないことを明記します。 「コード」部分を検証します。プロンプトでは、存在する場合にコードを抽出するよう求めています。画像にコードブロックが表示されていないため、テキストにはGitHub上に記載があるとあるが、画像にはコードが表示されていないことを明記します。 少し注意して見ると、下部に赤いバーで「There is no information about possible countermeasures...」と表示されています。これにより、修正方法がリストされていないことが確認できます。 これで回答を生成する準備が整いました。

目標達成 すべての支援者に感謝 — 100%達成しました！

vanna-ai up to 2.0.2 FastAPI/Flask Cross-Domain Policy Vulnerability (CVE-2026-5321)

目標達成すべての支援者に感謝 — 100%達成しました！