CVE-2026-88055 in AnythingLLM
الملخص
بحسب VulDB • 10/09/2026
AnythingLLM هو تطبيق يحول أجزاء من المحتوى إلى سياق يمكن لأي نموذج لغوي كبير (LLM) استخدامه كمرجع أثناء الدردشة. في الإصدار 1.16.1 والإصدارات الأقدم، يمكن لدور المدير (manager role) تخزين meta_page_title أو meta_page_favicon عبر /api/admin/system-preferences، ويقوم MetaGenerator بإدراج هذه القيم في HTML الخاص بالصفحة الرئيسية للإنتاج دون تهريب قيم السمات أو محتوى النص. تمر القيم كما هي من خلال server/models/systemSettings.js وتصل إلى دالة MetaGenerator.generate() الموجودة في server/index.js. تقوم الدالة #assembleMeta() في server/utils/boot/MetaGenerator.js بدمج القيم المخزنة داخل HTML. عندما يزور المسؤول الصفحة الرئيسية /، يمكن لـ JavaScript المُحقَن قراءة رمز JWT الخاص بالمسؤول واستخدامه لإنشاء مفاتيح API، والوصول إلى بيانات مساحة العمل والدردشة أو تعديلها، وحذف المستخدمين، وتنفيذ إجراءات أخرى للمسؤولين. يقبل server/endpoints/admin.js الإعدادات التي يتحكم فيها المدير قبل أن تعيد server/models/systemSettings.js هذه القيم كما هي. لا تتوفر إصدارات مُصلحة حتى وقت هذا المراجعة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.