PT-2026-25397
CVE-2026-32717
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-03-16
الوصف من
CVSS 2.0
3.3
منخفضةالمقاييسAV:N/AC:L/Au:M/C:N/I:P/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
AnythingLLM الإصدارات 1.11.1 والإصدارات الأقدم
الوصف
AnythingLLM هو تطبيق مصمم لتوفير السياق لنماذج اللغة الكبيرة (LLMs). في وضع المستخدمين المتعددين، يفشل التطبيق في منع المستخدمين الموقوفين من الوصول إلى النظام عبر مفاتيح واجهة برمجة تطبيقات (API) ملحقات المتصفح، على الرغم من حظرهم عبر الجلسات القياسية المدعومة بـ JWT. يمكن للمستخدم الموقوف الذي يمتلك مفتاح واجهة برمجة تطبيقات (API) صالحًا لملحق المتصفح من نوع
brx-... الاستمرار في الوصول إلى نقاط نهاية ملحق المتصفح، وقراءة بيانات تعريف مساحة العمل، وتنفيذ عمليات التحميل أو التضمين. يسمح مسار مفتاح واجهة برمجة التطبيقات (API) المعرض للخطر بالوصول المستمر حتى بعد رفض المصادقة العادية.التوصيات
يجب تحديث الإصدارات الأقدم من 1.11.1. تأكد من إبطال صلاحية مفاتيح واجهة برمجة تطبيقات (API) ملحق المتصفح أو إلغاء الوصول عند تعليق حساب المستخدم.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾