CVE-2026-88055 in AnythingLLM
요약
\~에 의해 VulDB • 2026. 09. 10.
AnythingLLM은 LLM이 대화 중 참조할 수 있는 컨텍스트로 콘텐츠 조각을 변환하는 애플리케이션입니다. 1.16.1 및 이전 버전에서, manager 역할의 사용자는 /api/admin/system-preferences를 통해 meta_page_title 또는 meta_page_favicon을 저장할 수 있으며, MetaGenerator는 이러한 값을 속성 값이나 텍스트 콘텐츠를 이스케이프하지 않고 생산 환경 홈페이지 HTML에 삽입합니다. 이 값들은 server/models/systemSettings.js와 server/index.js 내의 MetaGenerator.generate()로 전달될 때 변경되지 않은 상태로 유지됩니다. server/utils/boot/MetaGenerator.js의 #assembleMeta() 메서드는 저장된 값을 HTML에 연결(concatenates)합니다. 관리자가 홈페이지 /를 방문하면, 주입된 JavaScript가 관리자 JWT를 읽어 API 키를 생성하고, 워크스페이스 및 채팅 데이터에 접근하거나 수정하며, 사용자를 삭제하는 등 기타 관리자 작업을 수행할 수 있습니다. server/endpoints/admin.js는 server/models/systemSettings.js가 변경되지 않은 상태로 반환하기 전에 manager가 제어한 설정을 허용합니다. 현재 검토 시점에는 고정된 버전이 없습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.