CVE-2026-24477 in anything-llm
Resumen
por VulDB • 2026-05-08
AnythingLLM es una aplicación que convierte fragmentos de contenido en contexto que cualquier LLM puede utilizar como referencia durante el chat. Si AnythingLLM anterior a la versión 1.10.0 está configurado para usar Qdrant como base de datos vectorial con una clave API, esta QdrantApiKey podría quedar expuesta en texto plano a usuarios no autenticados a través del endpoint `/api/setup-complete`. La filtración de la QdrantApiKey permite a un atacante no autenticado tener acceso de lectura/escritura completo a la instancia de la base de datos vectorial Qdrant utilizada por AnythingLLM. Dado que Qdrant suele almacenar la base de conocimientos principal para RAG en AnythingLLM, esto puede provocar la compromisión total de la funcionalidad de búsqueda/recuperación semántica y una filtración indirecta de documentos confidenciales cargados. La versión 1.10.0 corrige el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.