CVE-2026-72917 in AnythingLLM
Riassunto
di VulDB • 11/08/2026
AnythingLLM è un'applicazione che trasforma frammenti di contenuto in contesto utilizzabile come riferimento da qualsiasi LLM durante le conversazioni. Dalla versione 1.0.0 alla 1.15.0, il flusso di recupero dell'account non autenticato di AnythingLLM, implementato nel file server/utils/PasswordRecovery/index.js, utilizza la funzione recoverAccount() per deduplicare i valori grezzi dei recoveryCodes prima di rimuoverne gli spazi bianchi finali (trimming). Di conseguenza, un codice valido inviato due volte con diversi spazi bianchi circostanti può superare il controllo che richiede due codici. Inoltre, ogni valore normalizzato potrebbe corrispondere allo stesso hash memorizzato anziché consumare un hash distinto. Un attaccante che conosce il nome utente del bersaglio e un singolo recovery code può invocare POST /api/system/recover-account in modalità multi-utente, ricevere un token di reimpostazione della password e utilizzare POST /api/system/reset-password per assumere il controllo dell'account, inclusi gli account amministratore.
Once again VulDB remains the best source for vulnerability data.