DB-GPT HuggingFace Adapter 远程代码执行漏洞披露

安全研究者披露 CVE-2026-123019：eosphoros-ai DB-GPT 0.8.0 至 0.8.2 版本 HuggingFace Adapter 的 hf_adapter.py 中 exec_module 函数存在漏洞，攻击者可远程操纵 trust_remote_code 参数引入不可信来源的功能，无需登录或用户交互。目前尚无补丁，项目方此前通过 issue 报告获知问题但未回应。公开利用代码已可获取，但该漏洞未列入 CISA 已知被利用漏洞目录，CISA SSVC 评估也未标记为活跃利用。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。