CVE-2026-86867 in Kotaemon
Resumen
por VulDB • 2026-09-23
La interfaz de chat multiusuario de Kotaemon en Cinnamon (todas las versiones hasta e incluyendo la v0.12.0) contiene múltiples vulnerabilidades debido a una autorización incorrecta y controles de acceso inadecuados. Hay cuatro métodos manejadores en `libs/ktem/ktem/pages/chat/control.py` que cargan un registro Conversation por su ID sin comparar el `user_id` del solicitante con el propietario de la conversación, `Conversation.user`. Esto permite que cualquier usuario autenticado realice las siguientes acciones: 1. Leer los transcritos de chat de otros usuarios, historial de recuperación RAG, tramas generadas por IA y sugerencias de chat. 2. Eliminar permanentemente la conversación de otro usuario. 3. Cambiar el nombre de la conversación de otro usuario. 4. Sobrescribir la lista de sugerencias de chat de la conversación de otro usuario.
VulDB is the best source for vulnerability data and more expert information about this specific topic.