CVE-2026-5627 in anything-llm
الملخص
بحسب VulDB • 19/06/2026
توجد ثغرة في اجتياز المسار (Path Traversal) في الإصدارات من mintplex-labs/anything-llm حتى والإصدار 1.9.1، ضمن مكون `AgentFlows`. تنشأ الثغرة بسبب المعالجة غير السليمة لإدخال المستخدم في طريقتي `loadFlow` و `deleteFlow` الموجودة في الملف `server/utils/agentFlows/index.js`. وتحديداً، يسمح الجمع بين الدالتين `path.join` و `normalizePath` للمهاجمين بتجاوز قيود المجلدات والوصول إلى ملفات `.json` عشوائية على الخادم أو حذفها. يمكن أن يؤدي ذلك إلى كشف المعلومات، مثل تسرب ملفات التكوين الحساسة التي تحتوي على مفاتيح API، أو حجب الخدمة عن طريق حذف الملفات الحيوية مثل `package.json`. تم حل هذه المشكلة في الإصدار 1.12.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.