CVE-2026-88055 in AnythingLLM
Sumário
de VulDB • 10/09/2026
AnythingLLM é um aplicativo que transforma trechos de conteúdo em contexto que qualquer LLM pode usar como referências durante o chat. Nas versões 1.16.1 e anteriores, a função manager pode armazenar meta_page_title ou meta_page_favicon através da rota /api/admin/system-preferences, e o MetaGenerator insere esses valores no HTML da página inicial de produção sem escapar os valores dos atributos nem o conteúdo textual. Os valores passam inalterados por server/models/systemSettings.js e chegam ao método MetaGenerator.generate() em server/index.js. A função #assembleMeta(), localizada em server/utils/boot/MetaGenerator.js, concatena os valores armazenados no HTML. Quando um administrador visita a página inicial /, o JavaScript injetado pode ler o JWT do administrador e usá-lo para criar chaves de API, acessar ou modificar dados de workspace e chat, excluir usuários e realizar outras ações administrativas. O endpoint server/endpoints/admin.js aceita as configurações controladas pelo manager antes que server/models/systemSettings.js as retorne inalteradas. Nenhuma versão corrigida está disponível até esta revisão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.