CVE-2026-72917 in AnythingLLM
요약
\~에 의해 VulDB • 2026. 08. 11.
AnythingLLM은 대화 중 참조 자료로 사용할 수 있는 컨텍스트로 콘텐츠 조각을 변환하는 애플리케이션입니다. 1.0.0부터 1.15.0 버전까지 AnythingLLM의 서버/utils/PasswordRecovery/index.js에 위치한 비인증 계정 복구 흐름에서 recoverAccount() 함수가 코드를 정제(trim)하기 전에 원본 recoveryCodes 값을 중복 제거합니다. 이로 인해 서로 다른 주변 공백을 포함하여 동일한 유효한 코드가 두 번 제출되면 2중 코드 검증(check) 조건을 충족할 수 있습니다. 또한 각 정규화된 값은 고유한 해시를 소모하는 대신 저장된 동일한 해시와 일치할 수도 있습니다. 대상 사용자 이름과 하나의 복구 코드를 알고 있는 공격자는 다중 사용자 모드에서 POST /api/system/recover-account를 호출하여 비밀번호 재설정 토큰을 받고, 이어 POST /api/system/reset-password를 사용하여 관리자 계정을 포함한 해당 계정을 탈취할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.