漏洞概述 漏洞编号: Bug 2487231 (CVE-2026-53474) 漏洞类型: 二级SQL注入通过RVTTools上传 报告时间: 2026-06-09 18:31 UTC 修改时间: 2026-06-10 13:52 UTC 状态: NEW 优先级: high 严重程度: high 影响范围 产品: Security Response 组件: vulnerability 版本: unspecified 硬件: All 操作系统: Linux 目标里程碑: --- 分配给: Product Security DevOps Team 环境: 最后关闭: 已发布: 描述 仓库: migration-planner 优先级: High 位置: pkg/duckdb_parser/inventory_builder.go:65 - pkg/duckdb_parser/builder.go 描述: 用户上传的RVTTools .xlsx导出文件被DuckDB安全地摄取。库存构建器随后运行 becomes executable SQL on the second pass. 安全影响: - DuckDB worker 在 planner-api pod 内无沙箱运行 - DuckDB 的 / 启用 pod 上的任意文件读取 - 可以访问 Kubernetes service-account token、Postgres 凭证、agent-JWT 签名密钥 - 单个租户的 xlsx 上传可升级为完整的 SaaS 妥协 修复方案 修复建议: 应用现有的 帮助器（已用于 ）到 中的每个字符串字段，在模板执行之前。补丁覆盖 builder.go 中的所有 27 个调用点。长期：优先使用 DuckDB 预准备语句而不是 text/template。参见 patches/#007.patch。 附件 附件: (Terms of Use) 备注 需要登录才能在此漏洞上发表评论或进行更改。