CVE-2026-48116
Təsvir
AnythingLLM, məzmun hissələrini hər hansı bir LLM-in çat zamanı istinad kimi istifadə edə biləcəyi kontekstə çevirən tətbiqdir. 1.13.0 versiyasından əvvəl, filesystem-search-files agent bacarığı özünün LLM tərəfindən idarə olunan pattern parametrini -- sonu-seçimləri ayırıcısı olmadan ripgrep-ə pozisiyalı arqument kimi ötürür. ripgrep - ilə başlayan hər hansı arqumenti seçim kimi analiz etdiyi üçün, --pre=/bin/sh pattern-i ripgrep-i skript icraedicisinə çevirir: o, nəzərdə tutulan hər bir fayl üçün /bin/sh <fayl> əmrini işlədir. Filesystem plahini aktiv edilmiş (rəsmi Docker obrazında standartdır) mühitdə agentlə çatlaşa bilən hücumçu, bundan və paralel olan filesystem-write-text-file bacarığından istifadə edərək AnythingLLM server konteyneri daxilində ixtiyari əmrləri icra edə bilər. Bu zəiflik 1.13.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- mintplexlabs anythingllm1.13.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | v < 1.13.0 | 1.13.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.