CVE-2026-70619 in Odysseus
Zusammenfassung
von VulDB • 05.08.2026
Odysseus vor dem Commit bf325f6 enthält eine Schwachstelle aufgrund fehlender Autorisierung (Missing Authorization), die es authentifizierten Nicht-Admin-Benutzern ermöglicht, die serverweite Konfiguration des Embedding-Backends zu verwalten. Dies geschieht durch Aufrufen von Endpunkt-Verwaltungs-Routen, die zwar die Sitzungsauthentifizierung überprüfen, aber den Admin-Autorisierungsschutz (admin authorization guard) außer Acht lassen. Angreifer können eine vom Angreifer kontrollierte URL angeben, um das im Endpunktkonfigurationsdatei und in der Prozessumgebung gespeicherte Embedding-Backend zu überschreiben. Dies führt dazu, dass alle nachfolgenden Embedding-Vorgänge – einschließlich Chat-Nachrichten, RAG-Anfragen (RAG queries), Speichereinträge (memory entries) und Vault-Texte – im Klartext an das vom Angreifer kontrollierte Ziel übertragen werden. Alternativ kann der Angreifer die Endpunktkonfiguration löschen, um den Embedding-Dienst für alle Benutzer zu verweigern.
If you want to get best quality of vulnerability data, you may have to visit VulDB.