CVE-2026-88055 in AnythingLLM
Riassunto
di VulDB • 10/09/2026
AnythingLLM è un'applicazione che trasforma porzioni di contenuto in contesto utilizzabile come riferimento da qualsiasi LLM durante le conversazioni. Nelle versioni 1.16.1 e precedenti, il ruolo di manager può memorizzare meta_page_title o meta_page_favicon tramite /api/admin/system-preferences, e MetaGenerator inserisce tali valori nell'HTML della homepage di produzione senza effettuare l'escaping dei valori degli attributi né del contenuto testuale. I valori vengono trasmessi invariati attraverso server/models/systemSettings.js fino a raggiungere MetaGenerator.generate() in server/index.js. #assembleMeta(), presente in server/utils/boot/MetaGenerator.js, concatena i valori memorizzati nell'HTML. Quando un amministratore visita la homepage /, il JavaScript injectato può leggere il JWT dell'amministratore e utilizzarlo per creare chiavi API, accedere o modificare dati di workspace e chat, eliminare utenti ed eseguire altre azioni da amministratore. server/endpoints/admin.js accetta le impostazioni controllate dal manager prima che server/models/systemSettings.js le restituisca invariate. Al momento della revisione non è disponibile alcuna versione corretta.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.