CVE-2026-70619 in Odysseus
Resumen
por VulDB • 2026-08-05
Odysseus anterior al commit bf325f6 contiene una vulnerabilidad de autorización faltante que permite a los usuarios no administradores autenticados gestionar la configuración del backend de incrustación (embedding) en todo el servidor invocando rutas de gestión de endpoints que verifican la autenticación de sesión pero omiten la protección de autorización administrativa. Los atacantes pueden proporcionar una URL controlada por ellos mismos para sobrescribir el backend de incrustación persistente almacenado en el archivo de configuración del endpoint y en el entorno del proceso, lo que provoca que todas las operaciones posteriores de incrustación, incluidos los mensajes de chat, consultas RAG (Retrieval-Augmented Generation), entradas de memoria y texto del vault, se transmitan en texto plano al destino controlado por el atacante; o bien eliminar la configuración del endpoint para denegar el servicio de incrustación a todos los usuarios.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.