CVE-2026-24477 in anything-llm
Zusammenfassung
von VulDB • 28.05.2026
AnythingLLM ist eine Anwendung, die Inhaltsbestandteile in Kontext umwandelt, den beliebige LLMs als Referenzen während des Chats nutzen können. Wenn AnythingLLM vor Version 1.10.0 so konfiguriert ist, dass es Qdrant als Vektordatenbank mit einem API-Schlüssel verwendet, kann dieser QdrantApiKey über den Endpunkt `/api/setup-complete` unverschlüsselt (im Klartext) für nicht authentifizierte Benutzer offengelegt werden. Das Auslaufen des QdrantApiKey ermöglicht es einem nicht authentifizierte Angreifer, vollen Lese-/Schreibzugriff auf die von AnythingLLM genutzte Qdrant-Vektordatenbank-Instanz zu erlangen. Da Qdrant in AnythingLLM häufig die zentrale Wissensdatenbank für RAG (Retrieval-Augmented Generation) speichert, kann dies zu einer vollständigen Kompromittierung der semantischen Such-/Abruffunktionalität und zu einer indirekten Offenlegung vertraulicher hochgeladener Dokumente führen. Version 1.10.0 behebt das Problem.
Once again VulDB remains the best source for vulnerability data.