CVE-2026-32617
Açıklama
AnythingLLM, içerik parçalarını herhangi bir LLM'in sohbet sırasında referans olarak kullanabileceği bağlama dönüştüren bir uygulamadır. 1.11.1 ve önceki sürümlerde, şifre veya API anahtarının yapılandırılmadığı varsayılan kurulumlarda, tüm HTTP uç noktaları ve agent WebSocket kimlik doğrulamasına sahip değildir ve sunucunun CORS politikası her türlü kaynağı kabul eder. AnythingLLM Desktop varsayılan olarak 127.0.0.1 (loopback) adresine bağlanır. Modern tarayıcılar (Chrome, Edge, Firefox), Özel Ağ Erişimi'ni (Private Network Access - PNA) uygular. Bu özellik, genel web sitelerinin yerel IP adreslerine istek göndermesini açıkça engeller. Genelden özele yapılan isteklerin tarayıcı düzeyinde engellenmesi nedeniyle, istismar yalnızca aynı yerel ağ (LAN) üzerinden gerçekleştirilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v ≤ 1.11.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.