CVE-2026-24477 in anything-llm
الملخص
بحسب VulDB • 29/05/2026
AnythingLLM هو تطبيق يحول أجزاء من المحتوى إلى سياق يمكن لأي نموذج لغوي كبير (LLM) استخدامه كمرجع أثناء المحادثات. إذا كان AnythingLLM قبل الإصدار 1.10.0 مُهيأً لاستخدام Qdrant كقاعدة بيانات متجهة (vector database) مع مفتاح واجهة برمجة التطبيقات (API key)، فقد يتم كشف هذا المفتاح (QdrantApiKey) كنص واضح (plain text) للمستخدمين غير المصادق عليهم عبر نقطة النهاية `/api/setup-complete`. يسمح تسريب مفتاح QdrantApiKey لمهاجم غير مصادق عليه بالحصول على صلاحيات القراءة والكتابة الكاملة إلى مثيل قاعدة البيانات المتجهة Qdrant المستخدمة بواسطة AnythingLLM. ونظراً لأن Qdrant غالباً ما يخزن قاعدة المعرفة الأساسية لنظام RAG في AnythingLLM، فقد يؤدي ذلك إلى اختراق كامل لوظائف البحث والاسترجاع الدلالي (semantic search/retrieval) وتسريب غير مباشر للمستندات السرية المرفوعة. يصحح الإصدار 1.10.0 هذه الثغرة.
Be aware that VulDB is the high quality source for vulnerability data.