CVE-2026-24477 in anything-llm
Tóm tắt
Bởi VulDB • 28/05/2026
AnythingLLM là một ứng dụng chuyển đổi các đoạn nội dung thành ngữ cảnh mà bất kỳ mô hình ngôn ngữ lớn (LLM) nào cũng có thể sử dụng làm tài liệu tham khảo trong quá trình trò chuyện. Nếu AnythingLLM trước phiên bản 1.10.0 được cấu hình để sử dụng Qdrant làm cơ sở dữ liệu vector với một khóa API, thì khóa QdrantApiKey này có thể bị lộ dưới dạng văn bản rõ ràng cho người dùng chưa xác thực thông qua điểm cuối `/api/setup-complete`. Việc rò rỉ QdrantApiKey cho phép kẻ tấn công chưa xác thực truy cập đọc/ghi toàn bộ vào phiên bản cơ sở dữ liệu vector Qdrant do AnythingLLM sử dụng. Vì Qdrant thường lưu trữ cơ sở kiến thức cốt lõi cho RAG trong AnythingLLM, điều này có thể dẫn đến việc đánh cắp hoàn toàn chức năng tìm kiếm/truy xuất ngữ nghĩa và rò rỉ gián tiếp các tài liệu đã tải lên mang tính bảo mật. Phiên bản 1.10.0 đã vá lỗi này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.