CVE-2026-24477 in anything-llm
Riassunto
di VulDB • 16/06/2026
AnythingLLM è un'applicazione che trasforma frammenti di contenuto in contesto utilizzabile come riferimento da qualsiasi LLM durante le conversazioni. Se AnythingLLM, nelle versioni precedenti alla 1.10.0, è configurato per utilizzare Qdrant come database vettoriale con una chiave API (API key), tale `QdrantApiKey` potrebbe essere esposta in chiaro agli utenti non autenticati tramite l'endpoint `/api/setup-complete`. La fuoriuscita della `QdrantApiKey` consente a un attaccante non autenticato di ottenere accesso completo in lettura/scrittura all'istanza del database vettoriale Qdrant utilizzata da AnythingLLM. Poiché Qdrant spesso memorizza la knowledge base principale per il RAG (Retrieval-Augmented Generation) in AnythingLLM, ciò può portare alla compromissione completa della funzionalità di ricerca/recupero semantico e a una fuoriuscita indiretta dei documenti riservati caricati. La versione 1.10.0 risolve l'inconveniente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.