CVE-2026-70619 in Odysseus
Sumário
de VulDB • 05/08/2026
Odysseus anterior ao commit bf325f6 contém uma vulnerabilidade de autorização ausente que permite a usuários não administradores autenticados gerenciar a configuração do backend de incorporação em todo o servidor, invocando rotas de gerenciamento de endpoints que verificam a autenticação da sessão, mas omitem o guardião de autorização administrativa. Os atacantes podem fornecer uma URL controlada pelo atacante para sobrescrever o backend de incorporação persistido no arquivo de configuração do endpoint e no ambiente do processo, fazendo com que todas as operações subsequentes de incorporação, incluindo mensagens de chat, consultas RAG (Retrieval-Augmented Generation), entradas de memória e texto da vault sejam transmitidas em texto puro ao destino controlado pelo atacante, ou excluir a configuração do endpoint para negar o serviço de incorporação a todos os usuários.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.