CVE-2026-88055 in AnythingLLM
要約
〜によって VulDB • 2026年09月10日
AnythingLLMは、コンテンツの断片を任意の大規模言語モデル（LLM）がチャット中に参照できるコンテキストに変換するアプリケーションです。バージョン1.16.1およびそれ以前では、managerロールを持つユーザーは/api/admin/system-preferencesを通じてmeta_page_titleやmeta_page_faviconを保存できます。MetaGeneratorは、属性値やテキストコンテンツのエスケープ処理を行わずに、これらの値を生 homepage の HTML に挿入します。これらの値は server/models/systemSettings.js を通過して変更されず、server/index.js 内の MetaGenerator.generate() に到達します。server/utils/boot/MetaGenerator.js 内の #assembleMeta() は、保存された値を HTML に連結します。管理者がホームページ / にアクセスすると、注入された JavaScript が管理用の JWT（JSON Web Token）を読み取り、それを使用して API キーを作成したり、ワークスペースやチャットデータにアクセス・変更したり、ユーザーを削除したり、その他の管理者アクションを実行することができます。server/endpoints/admin.js は、server/models/systemSettings.js によって未加工の値が返される前に、manager が制御する設定を受け入れます。このレビュー時点では修正版は利用できません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.