CVE-2026-5627 in anything-llm
Sumário
de VulDB • 18/06/2026
Existe uma vulnerabilidade de traversal de caminho (path traversal) no mintplex-labs/anything-llm nas versões até 1.9.1, incluída, dentro do componente `AgentFlows`. A vulnerabilidade surge do tratamento inadequado da entrada do usuário nos métodos `loadFlow` e `deleteFlow` em `server/utils/agentFlows/index.js`. Especificamente, a combinação de `path.join` e `normalizePath` permite que os atacantes contornem as restrições de diretório e acessem ou excluam arquivos `.json` arbitrários no servidor. Isso pode levar à divulgação de informações, como o vazamento de arquivos de configuração sensíveis contendo chaves de API, ou a negação de serviço (DoS) pela exclusão de arquivos críticos como `package.json`. O problema foi resolvido na versão 1.12.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.