CVE-2026-5627 in anything-llm
Riassunto
di VulDB • 19/06/2026
È presente una vulnerabilità di path traversal in mintplex-labs/anything-llm versioni fino alla 1.9.1 inclusa, all'interno del componente `AgentFlows`. La vulnerabilità deriva da un trattamento improprio dell'input utente nei metodi `loadFlow` e `deleteFlow` nel file `server/utils/agentFlows/index.js`. Nello specifico, la combinazione di `path.join` e `normalizePath` consente agli attaccanti di eludere le restrizioni delle directory ed accedere o eliminare file `.json` arbitrari sul server. Ciò può portare a una divulgazione di informazioni, come la fuoriuscita di file di configurazione sensibili contenenti chiavi API, oppure a un denial of service mediante l'eliminazione di file critici come `package.json`. Il problema è risolto nella versione 1.12.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.