Penjelasan teknis
Kerentanan SQL injection ditemukan di pandas-ai versi 3.0.0 dalam komponen pandasai.agent.base._execute_sql_query, memungkinkan penyerang mengeksekusi perintah SQL arbitrer.
Vektor serangan
Input berbahaya ke komponen eksekusi query pandas-ai dapat melewati sanitisasi input, memungkinkan eksekusi perintah SQL arbitrer terhadap database backend.
Sistem yang terdampak
Instalasi pandas-ai versi 3.0.0 dengan konektivitas database.
Mitigasi
Tingkatkan pandas-ai ke versi yang sudah diperbaiki terbaru. Implementasikan validasi input dan query berparameter. Batasi privilege pengguna database untuk koneksi pandas-ai.