CVE-2025-68472

Traitement de fichiers non sécurisé dans MindsDB

Une faille de sécurité non authentifiée, identifiée sous la référence CVE-2025-68472, a été découverte dans la plateforme MindsDB, affectant toutes les versions antérieures à la 25.11.1. Le problème réside dans la gestion inappropriée des fichiers téléchargés via l’API, particulièrement lors de l’utilisation du format JSON pour le corps de la requête et lorsque le type de source n’est pas “url”.

Dans ces conditions, des données fournies par un utilisateur malveillant peuvent être insérées directement dans un chemin de fichier du système, permettant ainsi à un attaquant de lire des fichiers arbitraires sur le serveur. Ces fichiers peuvent ensuite être déplacés dans l’espace de stockage de MindsDB, exposant potentiellement des informations confidentielles.

Points clés :

• Une vulnérabilité de type “path traversal” a été identifiée.
• Elle affecte les versions de MindsDB antérieures à 25.11.1.
• La faille est due à une mauvaise gestion des entrées utilisateur dans l’API de téléchargement de fichiers.

Vulnérabilité :

• CVE-2025-68472 : Unauthenticated path traversal vulnerability.

Recommandations :

• Mettre à jour MindsDB vers la version 25.11.1 ou une version ultérieure pour corriger cette vulnérabilité.

Source