DB-GPT 上传接口曝两个路径穿越漏洞，v0.8.2 修复其一却回归另一处
CVE-2026-80104: DB-GPT Skill Upload Path Traversal (and Sibling CVE-2026-73034)
AI 导读
DB-GPT 的 skill 上传与 python 文件上传接口存在两个未授权路径穿越任意文件写入漏洞，分别编号 CVE-2026-80104 和 CVE-2026-73034。CVE-2026-80104 源于 agentic_data_api.py 中 skill_upload 直接把 multipart 的 file.filename 拼接到 pilot/tmp，未做文件名校验，含 ../ 的文件名可写出上传目录；修复以 commit aecad1a9（PR #3065，2026 年 5 月）加入 _validate_upload_filename，拒绝绝对路径、多段文件名和 ..，该修复存在于 v0.8.1。两处路径的鉴权均为 mock，get_user_from_headers 无论是否带 user_id 头都返回 role=admin。