CVE-2026-24477

AnythingLLM, içerik parçalarını herhangi bir LLM'in sohbet sırasında referans olarak kullanabileceği bağlama dönüştüren bir uygulamadır. Eğer 1.10.0 sürümü öncesindeki AnythingLLM, vektör veritabanı olarak API anahtarı ile birlikte Qdrant kullanacak şekilde yapılandırılmışsa, bu QdrantApiKey, `/api/setup-complete` uç noktası üzerinden kimliği doğrulanmamış kullanıcılara düz metin olarak ifşa edilebilir. QdrantApiKey sızıntısı, kimliği doğrulanmamış bir saldırganın AnythingLLM tarafından kullanılan Qdrant vektör veritabanı örneğine tam okuma/yazma erişimi sağlamasına olanak tanır. Qdrant genellikle AnythingLLM içindeki RAG için temel bilgi tabanını depoladığından, bu durum anlamsal arama / geri çağırma işlevselliğinin tamamen ele geçirilmesine ve yüklenen gizli belgelerin dolaylı olarak sızmasına yol açabilir. Sürüm 1.10.0 bu sorunu gidermektedir.