PT-2026-25396
CVE-2026-32715
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-03-16
الوصف من
CVSS 2.0
4.7
متوسطةالمقاييسAV:N/AC:L/Au:M/C:P/I:P/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AnythingLLM الإصدارات 1.11.1 وما قبلها
الوصف
AnythingLLM هو تطبيق مصمم لتوفير السياق لنماذج اللغة الكبيرة (LLMs). يوجد تباين حيث تسمح نقطتا نهاية عامتان لواجهة برمجة التطبيقات (API) الخاصة بتفضيلات النظام، وهما ’‘/system-preferences'’ و‘'/system-preferences/{id}’‘، بالوصول للمستخدمين الذين يحملون دور المدير، في حين أن الواجهات الأخرى لنفس الإعدادات مقيدة على المسؤولين فقط. يتيح هذا التباين للمدير الوصول مباشرةً إلى بيانات اعتماد قاعدة بيانات SQL النصية العادية وتعديل الإعدادات العامة المخصصة للمسؤولين فقط، بما في ذلك موجه النظام الافتراضي ومفتاح واجهة برمجة التطبيقات (API) لـ Community Hub. لم يتم ذكر المعلمات المعرضة للخطر بشكل صريح.
التوصيات
يجب تحديث الإصدارات الأقدم من 1.11.1. كحل مؤقت، قم بتقييد الوصول المباشر إلى نقاط نهاية واجهة برمجة التطبيقات (API) ’‘/system-preferences'’ و‘'/system-preferences/{id}’‘ لأدوار المديرين.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾