CVE-2026-45403

Nome do Software Vulnerável e Versões Afetadas AnythingLLM versões anteriores a 1.13.0

Description A ferramenta de cópia de sistema de arquivos do agente valida apenas os caminhos de origem e destino de nível superior. O auxiliar de cópia recursiva utiliza fs.stat() para descer em entradas filhas e fs.copyFile() para copiar arquivos sem validar cada filho ou rejeitar links simbólicos (symlinks). Como ambas as APIs seguem links simbólicos, um link simbólico aninhado dentro de um diretório de origem permitido pode apontar para fora da raiz do sistema de arquivos permitida, fazendo com que conteúdos de arquivos externos sejam copiados para um destino permitido como arquivos comuns.

Recommendations Atualize para a versão 1.13.0.