漏洞名称：MindsDB /api/sql/query 未授权访问漏洞（CVE-2025-68472）
风险等级：
严重
漏洞描述：
MindsDB 是一个从企业数据构建人工智能的开源平台，在Github 拥有38.8K star，其应用场景覆盖企业数据智能、业务决策优化等多个领域，深受开发者的喜爱。
MindsDB 在 25.11.1 之前版本中，其文件上传接口存在路径遍历漏洞。当请求体为 JSON 且 source_type 不为 "url" 时，file.py 中的 PUT 处理逻辑会直接将用户可控参数拼接到文件系统路径中，且未进行 clear_filename 等安全校验，攻击者可构造恶意路径读取服务器任意文件并将其移动至 MindsDB 的存储目录中，造成敏感信息泄露。
FOFA自检语句：
(title="MindsDB Studio" || title="MindsDB Web") && body="Make predictions from tables inside your database, then visualize them in your BI tool or App, all using standard SQL."
受影响版本：
MindsDB < 25.11.1
临时修复方案：
官方已发布新版本修复该漏洞，建议受影响的用户升级至25.11.1以上版本
补丁链接:
https://github.com/mindsdb/mindsdb/releases
漏洞检测工具：
鉴于该漏洞影响范围较大，建议优先处置排查，Goby EXP效果如视频演示如下：
查看Goby更多漏洞： Goby历史漏洞合集