CVE-2026-24477 in anything-llm
Résumé
par VulDB • 25/05/2026
AnythingLLM est une application qui transforme des éléments de contenu en contexte que n'importe quel LLM peut utiliser comme références lors des conversations. Si AnythingLLM, antérieur à la version 1.10.0, est configuré pour utiliser Qdrant comme base de données vectorielle avec une clé API, cette QdrantApiKey pourrait être exposée en texte brut aux utilisateurs non authentifiés via le point de terminaison `/api/setup-complete`. La fuite de la QdrantApiKey permet à un attaquant non authentifié d'accéder en lecture/écriture complète à l'instance de base de données vectorielle Qdrant utilisée par AnythingLLM. Étant donné que Qdrant stocke souvent la base de connaissances principale pour le RAG dans AnythingLLM, cela peut entraîner une compromission complète de la fonctionnalité de recherche/récupération sémantique et une fuite indirecte des documents confidentiels téléchargés. La version 1.10.0 corrige ce problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.