PT-2026-56255 · Cognee · Cognee
CVSS v4.0
9.3
حرجة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cognee الأقدم من 1.2.0
الوصف
تسمح ضوابط الوصول غير السليمة للمهاجمين غير المصادق عليهم بالكتابة فوق التكوين العام لمزود نموذج اللغة الكبير (LLM). من خلال التسجيل الذاتي لحساب واستدعاء نقطة النهاية ’/api/v1/settings‘، التي تفتقر إلى فحوصات المسؤول أو المستخدم المتميز، يمكن للمهاجم استغلال ذاكرة التخزين المؤقتة للتكوين الفريد على مستوى العملية. وهذا يتيح إعادة توجيه جميع عمليات LLM على مستوى المثيل إلى نقطة نهاية يسيطر عليها المهاجم، مما يؤدي إلى تسريب المطالبات والمستندات التي تم تحميلها والكيانات المستخرجة ومحتوى مخطط المعرفة من جميع المستخدمين.
التوصيات
تحديث Cognee إلى الإصدار 1.2.0 أو أحدث.
تقييد الوصول إلى نقطة النهاية ’/api/v1/settings‘ لمنع إجراء تغييرات غير مصرح بها على التكوين.
استغلال
إصلاح
Missing Authorization
Missing Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Cognee