Vanna: Code-Injection in VannaBase.get_plotly_figure
Zusammenfassung
Vanna v2.0.2 enthält eine Code-Injection-Schwachstelle in der Legacy-Funktion VannaBase.get_plotly_figure. Je nach exponiertem Einstiegspunkt kann ein Angreifer auf dem Host, auf dem Vanna läuft, vom Angreifer kontrollierten Code oder Befehle ausführen. Die Ausnutzung ist über das Netzwerk möglich und mit geringer Komplexität verbunden; CISA SSVC führt einen Proof of Concept als vorhanden auf. Laut offiziellem Eintrag ist keine Authentifizierung erforderlich, dies hängt jedoch davon ab, wie die Anwendung Vanna bereitstellt.
Betroffen
- Vanna v2.0.2 (im CVE-Eintrag genannt)
- Andere 2.x-Versionen: Unbekannt.
Behoben in
- Unbekannt. Es wurde weder ein Herstellerhinweis noch eine korrigierte Version bestätigt.
Umgehung
- Vanna-Endpunkte nicht aus dem Internet erreichbar machen; sie hinter Authentifizierung, SSO oder einem VPN betreiben.
- Den Legacy-Pfad get_plotly_figure und die Diagrammerzeugung nicht mit nicht vertrauenswürdigen Eingaben verwenden.
- Den Dienst in einem Container mit minimalen Rechten und ohne Zugriff auf Geheimnisse betreiben.
- Auf unerwartete Kindprozesse des Python-Dienstes achten.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'yes', technische Auswirkung 'total'.
- Nicht im CISA-KEV-Katalog. Keine bestätigte Ausnutzung in freier Wildbahn.
- Ein öffentlicher Proof of Concept könnte existieren; VulDB gibt an, dass kein Exploit existiert. Der Status ist widersprüchlich und nicht verifiziert.
Unsere Empfehlung
- Alle Vanna-Installationen inventarisieren und auf Version 2.0.2 prüfen (pip show vanna).
- Prüfen, ob die Web-Endpunkte aus dem Internet erreichbar sind und ob eine Authentifizierung verlangt wird.
- Zugriff über VPN, SSO oder IP-Allowlisting einschränken und Diagrammfunktionen deaktivieren, wo sie nicht benötigt werden.
- Das Herstellerrepository und NVD auf einen korrigierten Release überwachen und die installierte Version nach dem Patch prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51911 gist (Ro1ME) gist.github.com
- Vanna GitHub repository github.com
- OpenCVE: CVE-2026-51911 app.opencve.io
- VulDB: CVE-2026-51911 vuldb.com
- VulDB: vulnerability 413157 vuldb.com
- Vanna data security vanna.ai
- Vulners: CVE-2026-51911 (Rapid7) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.