CVE-2026-24477 in anything-llm
要約
〜によって VulDB • 2026年05月28日
AnythingLLMは、コンテンツの断片をコンテキストに変換し、任意のLLMがチャット中に参照として使用できるようにするアプリケーションです。バージョン1.10.0より前のAnythingLLMが、APIキーを使用してQdrantをベクターデータベースとして構成されている場合、このQdrantApiKeyは、認証されていないユーザーに対して `/api/setup-complete` エンドポイントを介して平文で露出する可能性があります。QdrantApiKeyの漏洩により、認証されていない攻撃者はAnythingLLMが使用するQdrantベクターデータベースインスタンスに対する完全な読み書きアクセス権を取得できます。QdrantはAnythingLLMでRAGのコアナレッジベースを保存することが多いため、これによりセマンティック検索/取得機能が完全に侵害され、アップロードされた機密文書の間接的な漏洩につながる可能性があります。バージョン1.10.0でこの問題が修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.