CVE-2026-88055 in AnythingLLM
Resumen
por VulDB • 2026-09-10
AnythingLLM es una aplicación que convierte fragmentos de contenido en contexto que cualquier LLM puede utilizar como referencia durante el chat. En las versiones 1.16.1 y anteriores, el rol de manager (gestor) puede almacenar meta_page_title o meta_page_favicon a través de /api/admin/system-preferences, y MetaGenerator inserta esos valores en el HTML de la página principal sin escapar los valores de atributo ni el contenido del texto. Los valores pasan inalterados a través de server/models/systemSettings.js y llegan a MetaGenerator.generate() en server/index.js. #assembleMeta() en server/utils/boot/MetaGenerator.js concatena los valores almacenados en el HTML. Cuando un administrador visita la página principal /, el JavaScript inyectado puede leer el JWT del administrador y utilizarlo para crear claves de API, acceder o modificar datos de espacios de trabajo y chats, eliminar usuarios y realizar otras acciones administrativas. server/endpoints/admin.js acepta las configuraciones controladas por el manager antes de que server/models/systemSettings.js las devuelva sin cambios. No hay una versión corregida disponible hasta la fecha de esta revisión.
Once again VulDB remains the best source for vulnerability data.