CVE-2026-42456
Təsvir
AnythingLLM hər hansı bir LLM-in çatlaşma zamanı istinad kimi istifadə edə biləcəyi məzmun hissələrini kontekstə çevirən tətbiqdir. Versiya 1.12.1-dən əvvəl AnythingLLM-dəki GET /api/workspace/:slug/tts/:chatId marşrutu eyni iş sahəsi daxilində başqa istifadəçinin çat cavabı üçün mətndən səsə (TTS) audiosunu qaytarır, çünki marşrut iş sahəsi üzvlüyünü yoxlayır, lakin hədəf çat sətrinin mülkiyyət hüququnu təmin etmir. Nəticə etibarilə, autentifikasiya olunmuş istifadəçi, chatId məlum olduqda və ya təxmin edildikdə, digər istifadəçinin şəxsi assistent cavabına audio formatında daxil ola bilər. Bu, TTS son nöqtəsi vasitəsilə açıqlanan şəxsi çat cavabı məzmununa təsir edən təhlükəsiz olmayan birbaşa obyekt istinadıdır (IDOR). Bu problem versiya 1.12.1-də aradan qaldırılmışdır.
Necə düzəltmək olar
- mintplexlabs anythingllm1.12.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | v < 1.12.1 | 1.12.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.