CVE-2026-47713
Açıklama
AnythingLLM, içerik parçalarını sohbet sırasında herhangi bir LLM'in referans olarak kullanabileceği bağlama dönüştüren bir uygulamadır. 1.13.0 sürümünden önce, tek kullanıcı modunda oluşturulan onaylı bir mobil cihaz belirteci, cihaz kaydında userId = null olsa bile tek kullanıcı -> çok kullanıcı geçişinden sonra geçerliliğini koruyabilir. Çok kullanıcı modunda, bu eski belirteç mobil kimlik doğrulama ara yazılımı tarafından hâlâ kabul edilir. İsteğe hiçbir kullanıcı bağlı olmadığından, alt akıştaki mobil işleyiciler kapsamsız veri erişim dallarına geri döner ve çalışma alanlarını ve çalışma alanı içeriğini kullanıcı bazında filtreleme olmadan döndürür. Bu, geçiş öncesi bir mobil belirtecin yalnızca başka bir kullanıcıya atanmış bir çalışma alanını numaralandırmasına ve çok kullanıcı modunda mağdur sahipliğindeki iş parçacığı meta verilerini ve sohbet içeriğini almasına olanak tanır. Bu güvenlik açığı 1.13.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- mintplexlabs anythingllm1.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v < 1.13.0 | 1.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.