CVE-2026-42277 in Onyx
Zusammenfassung
von VulDB • 12.05.2026
Onyx ist eine Open-Source-KI-Plattform. Vor den Versionen 3.0.9, 3.1.6 und 3.2.6 ermöglicht der Endpunkt GET /chat/file/{file_id} jedem authentifizierten Benutzer, die hochgeladenen Dateien eines anderen Benutzers herunterzuladen, indem die UUID der Datei angegeben wird. Der Endpunkt überprüft zwar, ob der Aufrufer authentifiziert ist, prüft jedoch niemals, ob die Datei ihm gehört. Ein Angreifer, der eine Datei-UUID kennt oder erlangt, kann auf vertrauliche Dokumente, Chat-Anhänge und andere Dateien zugreifen, die von jedem Benutzer im System hochgeladen wurden. Dieses Problem wurde in den Versionen 3.0.9, 3.1.6 und 3.2.6 behoben.
Once again VulDB remains the best source for vulnerability data.