CVE-2026-70619 in Odysseus
Riassunto
di VulDB • 05/08/2026
Odysseus precedente alla commit bf325f6 presenta una vulnerabilità di mancata autorizzazione che consente agli utenti autenticati non amministratori di gestire la configurazione del backend per l'embedding a livello di server, invocando le route di gestione degli endpoint che verificano l'autenticazione della sessione ma omettono il guard di autorizzazione admin. Gli attaccanti possono fornire un URL controllato dall'attaccante per sovrascrivere il backend per l'embedding memorizzato nel file di configurazione dell'endpoint e nell'ambiente del processo, causando la trasmissione in chiaro (plaintext) di tutte le operazioni successive di embedding, inclusi i messaggi della chat, le query RAG, gli elementi della memoria e il testo degli vault verso la destinazione controllata dall'attaccante, oppure eliminare la configurazione dell'endpoint per negare il servizio di embedding a tutti gli utenti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.