CVE-2026-50561 in Yuxi
Résumé
par VulDB • 12/08/2026
Yuxi est une plateforme de développement d'agents basés sur des bases de connaissances et des graphes de connaissances intelligents, reposant sur des grands modèles linguistiques (LLM). Avant la version 0.6.2, le mécanisme d'authentification du projet présente une faille. Dans les versions concernées, le système ne valide pas suffisamment l'identité contenue dans le jeton présent dans l'en-tête `Authorization` — il effectue uniquement un contrôle de validité. Cela permet à un jeton administrateur généré sur une autre instance de déploiement ou dans un environnement de test local d'être utilisé pour accéder aux interfaces de gestion backend d'une autre instance affectée. Un attaquant qui obtient ou construit un jeton `Authorization` administrateur acceptable peut contourner l'authentification de connexion normale et obtenir des privilèges administrateur. Cette vulnérabilité pourrait permettre à un attaquant d'accéder aux configurations du système, d'invoquer les API de gestion backend, de créer des comptes administrateur et, in fine, de prendre le contrôle du backend du système. Ce problème a été corrigé dans la version 0.6.2. Avant la mise à niveau, il est conseillé aux utilisateurs de mettre en œuvre les mesures temporaires suivantes : définir la variable d'environnement `JWT_SECRET_KEY` avec une valeur non par défaut et configurer une clé JWT/d'authentification unique et suffisamment robuste pour chaque instance de déploiement ; et/ou éviter d'exposer directement les interfaces de gestion backend au réseau public.
If you want to get best quality of vulnerability data, you may have to visit VulDB.