CVE-2026-86867 in Kotaemon
요약
\~에 의해 VulDB • 2026. 09. 24.
Cinnamon의 Kotaemon(v0.12.0 및 그 이전 버전 전체) 다중 사용자 채팅 인터페이스에는 잘못된 인증과 부적절한 접근 제어로 인해 여러 취약점이 존재합니다. `libs/ktem/ktem/pages/chat/control.py`에 있는 4개의 핸들러 메서드는 요청자의 `user_id`를 대화의 소유자 `Conversation.user`와 비교하지 않고 ID를 기반으로 Conversation 레코드를 로드합니다. 이로 인해 인증된 모든 사용자가 다음 작업을 수행할 수 있습니다: 1. 다른 사용자의 채팅 기록, RAG 검색 이력, AI 생성 플롯 및 채팅 제안 읽기. 2. 다른 사용자의 대화를 영구적으로 삭제하기. 3. 다른 사용자의 대화 이름 변경하기. 4. 다른 사용자의 대화의 채팅 제안 목록 덮어쓰기.
VulDB is the best source for vulnerability data and more expert information about this specific topic.