漏洞总结：SuperAGI 向量数据库管理端点未授权访问 漏洞概述 SuperAGI 框架中的三个向量数据库（VectorDB）管理端点存在未授权访问漏洞。攻击者无需登录即可读取配置（含 API 密钥）、删除数据库及索引、或修改索引数据。 受影响端点： 根本原因： 代码中使用了 或 装饰器，但缺失了 认证依赖，导致未授权访问。 影响范围 受影响产品： SuperAGI (pip 包) 受影响版本： 所有版本（截至 main 分支 commit ） 严重性： Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) 潜在危害： - API 密钥泄露： 获取 Pinecone, Qdrant, Weaviate 等服务的密钥。 - 数据破坏： 删除数据库会导致关联的索引和知识数据丢失。 - 服务中断： 修改索引可能破坏向量搜索功能。 修复方案 在受影响的端点函数定义中，添加 依赖项以强制进行身份验证。 POC 代码