CVE-2026-5627 in anything-llm
요약
\~에 의해 VulDB • 2026. 06. 02.
mintplex-labs/anything-llm 버전 1.9.1(포함) 이하의 `AgentFlows` 컴포넌트에서 경로 순회(Path Traversal) 취약점이 존재합니다. 이 취약점은 `server/utils/agentFlows/index.js` 파일의 `loadFlow` 및 `deleteFlow` 메서드에서 사용자 입력 처리가 부적절하게 이루어짐으로 인해 발생합니다. 구체적으로 `path.join`과 `normalizePath`의 조합으로 인해 공격자가 디렉토리 제한을 우회하여 서버상의 임의의 `.json` 파일에 접근하거나 삭제할 수 있습니다. 이로 인해 API 키가 포함된 민감한 구성 파일 유출과 같은 정보 노출이나, `package.json`과 같은 중요한 파일 삭제에 따른 서비스 거부(Denial of Service)가 발생할 수 있습니다. 이 문제는 버전 1.12.1에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.