JVNDB-2026-004282

MindsDB IncのMindsDBにおけるサーバサイドのリクエストフォージェリの脆弱性

MindsDBのバージョン25.14.1までにセキュリティ脆弱性が検出されました。この脆弱性は、File Uploadコンポーネントのmindsdb/utilities/security.pyファイル内にあるclear_filename関数に影響を及ぼします。この操作によりサーバーサイドリクエスト偽造が発生します。攻撃はリモートから実行される可能性があります。この脆弱性のエクスプロイトは公開されており、悪用される恐れがあります。パッチ名は74d6f0fd4b630218519a700fbee1c05c7fd4b1edです。この問題を解決するためにパッチを適用することを推奨します。

MindsDB Inc

• MindsDB 25.14.1 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• Issues : [Bug]: SSRF Bypass via Improper URL Validation in MindsDB Editor  Issue #12163  mindsdb/mindsdb

Vulnerability Database

• VulDB : CVE-2026-2531 MindsDB File Upload security.py clear_filename server-side request forgery (Issue 12163 / EUVD-2026-6129)
• VulDB : Submit #748219: mindsdb v25.14.1 SSRF

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-2531

1. National Vulnerability Database (NVD) : CVE-2026-2531
2. 関連文書 : fix: prevent SSRF bypass via userinfo in URL validation by themavik  Pull Request #12213  mindsdb/mindsdb  GitHub
3. 関連文書 : fix: prevent SSRF bypass via userinfo in URL validation (#12163)  themavik/mindsdb@74d6f0f  GitHub
4. 関連文書 : GitHub - mindsdb/mindsdb: Federated Query Engine for AI - The only MCP Server you'll ever need

• [2026年02月20日]
    掲載