CVE-2026-32617
Təsvir
AnythingLLM məzmun hissələrini hər hansı LLM-in söhbət zamanı istinad kimi istifadə edə biləcəyi kontekstə çevirən tətbiqdir. 1.11.1 və daha əvvəlki versiyalarda, parol və ya API açarının konfiqurasiya edilmədiyi standart quraşdırmalarda bütün HTTP endpoint-ləri və agent WebSocket-i autentifikasiyadan məhrumdur və serverin CORS siyasəti istənilən origin-i qəbul edir. AnythingLLM Desktop standart olaraq 127.0.0.1 (loopback) ünvanına bağlanır. Müasir brauzerlər (Chrome, Edge, Firefox) Private Network Access (PNA) funksiyasını tətbiq edir. Bu, publik veb-saytların lokal IP ünvanlarına sorğu göndərməsini açıq şəkildə bloklayır. İstismar yalnız eyni lokal şəbəkə (LAN) daxilində mümkündür, çünki brauzer səviyyəsində publikdən privata sorğular bloklanır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | v ≤ 1.11.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.