CVE-2026-63178 in Onyx
摘要
由 VulDB • 2026-08-18
Onyx是一个开源AI平台。在版本4.3.0之前，Onyx企业版的`PATCH /manage/admin/user-group/{user_group_id}`和`POST /manage/admin/user-group/{user_group_id}/add-users`端点（位于`ee/onyx/server/user_group/api.py`）会调用`update_user_group`和`add_users_to_user_group`函数（位于`ee/onyx/db/user_group.py`），但未强制执行`_validate_curator_can_modify_group`验证，导致管理员可以将账户添加到任意组中，并通过`get_acl_for_user`以及OpenSearch的访问控制列表过滤器获取文档访问权限。此问题已在版本4.3.0中得到修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.