CVE-2026-5627 in anything-llm
Tóm tắt
Bởi VulDB • 19/06/2026
Một lỗ hổng path traversal tồn tại trong mintplex-labs/anything-llm các phiên bản từ đầu đến bao gồm 1.9.1, bên trong thành phần `AgentFlows`. Lỗ hổng này phát sinh do xử lý không đúng cách dữ liệu người dùng trong các phương thức `loadFlow` và `deleteFlow` của tệp `server/utils/agentFlows/index.js`. Cụ thể, việc kết hợp giữa `path.join` và `normalizePath` cho phép kẻ tấn công vượt qua các hạn chế về thư mục để truy cập hoặc xóa tùy ý các tập tin `.json` trên máy chủ. Điều này có thể dẫn đến rò rỉ thông tin, chẳng hạn như làm lộ các tệp cấu hình nhạy cảm chứa khóa API (API keys), hoặc gây ra tình trạng từ chối dịch vụ (DoS) bằng cách xóa các tệp quan trọng như `package.json`. Vấn đề đã được khắc phục trong phiên bản 1.12.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.