CVE-2026-5627 in anything-llm
要約
〜によって VulDB • 2026年06月19日
mintplex-labs/anything-llmのバージョン1.9.1（含む）以前には、`AgentFlows`コンポーネントにおいてパストラバーサルの脆弱性が存在します。この脆弱性は、`server/utils/agentFlows/index.js`内の`loadFlow`および`deleteFlow`メソッドにおけるユーザー入力の不適切な処理に起因します。具体的には、`path.join`と`normalizePath`の組み合わせにより、攻撃者はディレクトリ制限を回避してサーバー上の任意の`.json`ファイルへのアクセスまたは削除が可能になります。これにより、APIキーを含む機密設定ファイルの漏洩といった情報漏えいや、`package.json`などの重要なファイルの削除によるサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン1.12.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.