pandas-ai: Code-Injection über LLM-generierten Code in CodeExecutor.execute

Zusammenfassung

pandas-ai Version 3.0.0 enthält eine Code-Injection-Schwachstelle in CodeExecutor.execute, die vom LLM generierten Code in der Standardkonfiguration direkt mit exec() ohne Sandbox-Isolation ausführt. Ein Angreifer, der manipulierte Anfragen in natürlicher Sprache übermitteln kann, könnte beliebigen Code auf dem Host ausführen, einschliesslich Dateizugriff, Befehlsausführung und Netzwerkzugriff. Voraussetzung ist, dass nicht vertrauenswürdige Eingaben den LLM-Prompt erreichen; der CVSS-Score beträgt 9.8 (kritisch).

Betroffen

• pandas-ai 3.0.0 (gemäss CVE-Eintrag)
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde kein Herstellerfix oder Release gefunden.

Umgehung

• Eine Sandbox explizit konfigurieren, da die Standardkonfiguration (sandbox=None) keine Isolation bietet (Analyse eines Drittanbieters, nicht verifiziert).
• Den Dienst in einem Container oder einer VM mit minimalen Rechten betreiben, ohne Zugriff auf Produktionsgeheimnisse und mit eingeschränktem Netzwerkausgang.
• Nicht vertrauenswürdige Benutzer und Datenquellen vom Agenten fernhalten, bis ein Herstellerfix bestätigt ist.

Ausnutzung

• CISA SSVC: Exploitation none, automatable yes, technical impact total.
• Nicht im CISA-KEV-Katalog gelistet.
• Ein öffentliches Gist des Meldenden wird referenziert; dessen Inhalt wurde nicht überprüft.
• VulDB gibt an, dass kein Exploit verfügbar ist.
• Keine bekannte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle pandas-ai-Installationen und Versionen inventarisieren, einschliesslich transitiver Abhängigkeiten.
• Aus dem Internet erreichbare oder mit nicht vertrauenswürdigen Eingaben betriebene Installationen ausser Betrieb nehmen oder einschränken, bis eine Sandbox konfiguriert ist.
• GitHub-Issue #1893, Releases und NVD auf einen Herstellerfix oder eine Warnung überwachen.
• Logs auf unerwartete Codeausführung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51898 Gist (reporter) gist.github.com
• pandas-ai Issue #1893 github.com
• OpenCVE CVE-2026-51898 app.opencve.io
• VulDB 413153 vuldb.com
• pandas-ai Security page github.com
• Strix CVE-2026-51898 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:24.