KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2024-7099 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
QAnything是一个使用大模型及RAG（检索增强生成）能力构建的本地知识库问答系统，其旧版本组件mysql_client存在多个SQL注入漏洞，受影响的接口包括: get_knowledge_base_name、from_status_to_status、delete_files和get_file_by_status。未经授权的远程攻击者可以利用该漏洞执行SQL语句，导致系统内的敏感信息泄漏；在数据库安全配置不当的情况下，攻击者可在数据库所在的服务器上执行任意代码，导致服务器失陷。
影响范围
应用：qanything qanything（版本 1.4.1）
解决方案
升级至最新版本。
参考信息
https://github.com/netease-youdao/qanything/commit/a87354f09d93e95350fb45eb343dc75454387554
https://huntr.com/bounties/bc98983e-06cc-4a4b-be01-67e5010cb2c1
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。