AnythingLLM एक ऐसा एप्लिकेशन है जो सामग्री के टुकड़ों को संदर्भ में बदलता है जिसका उपयोग कोई भी LLM चैट करते समय संदर्भ के रूप में कर सकता है। 1.10.0 संस्करण से पहले, DrupalWiki एकीकरण में एक गंभीर Path Traversal भेद्यता एक दुर्भावनापूर्ण व्यवस्थापक (या एक हमलावर जो व्यवस्थापक को दुर्भावनापूर्ण DrupalWiki URL कॉन्फ़िगर करने के लिए मना सकता है) को सर्वर पर मनमाना फ़ाइलें लिखने की अनुमति देती है। इससे कॉन्फ़िगरेशन फ़ाइलों को ओवरराइट करके या निष्पादन योग्य स्क्रिप्ट लिखकर रिमोट कोड एग्जीक्यूशन (RCE) हो सकता है। संस्करण 1.10.0 समस्या को ठीक करता है।

यह भेद्यता हमलावरों को DrupalWiki एकीकरण के माध्यम से सर्वर पर मनमाने ढंग से फ़ाइलें लिखने की अनुमति देती है। एक हमलावर, जो एक व्यवस्थापक को दुर्भावनापूर्ण DrupalWiki URL कॉन्फ़िगर करने के लिए राजी कर सकता है, कॉन्फ़िगरेशन फ़ाइलों को ओवरराइट करके या निष्पादन योग्य स्क्रिप्ट लिखकर RCE प्राप्त कर सकता है। इसका परिणाम सिस्टम पर पूर्ण नियंत्रण हो सकता है, जिसमें डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियाँ शामिल हैं। यह भेद्यता विशेष रूप से उन वातावरणों में खतरनाक है जहां DrupalWiki का उपयोग किया जा रहा है और व्यवस्थापकों को URL कॉन्फ़िगर करने की अनुमति है।

Organizations using Drupal Core with the AnythingLLM application installed, particularly those with administrative users who may be susceptible to social engineering attacks or who may inadvertently configure malicious DrupalWiki URLs, are at risk. Shared hosting environments where multiple Drupal instances share the same server resources are also at increased risk.

• drupal: Check the installed version of the AnythingLLM module using drush pm:core-list or drush pm:modules. • generic web: Monitor Drupal error logs for attempts to access files outside of the intended DrupalWiki directory. • generic web: Use a WAF to block requests containing path traversal sequences (e.g., ../). • linux / server: Monitor file system activity for unexpected file creations or modifications within the Drupal installation directory, particularly in areas related to configuration files. Use auditd to track file access attempts.

1. 2026-01-27Disclosure

   disclosure

1. आरक्षित2026-01-23
2. प्रकाशित2026-01-27
3. संशोधित2026-01-28
4. EPSS अद्यतन2026-03-23

CVE-2026-24478 के लिए प्राथमिक शमन उपाय Drupal Core को संस्करण 1.10.0 में अपग्रेड करना है। यदि अपग्रेड तत्काल संभव नहीं है, तो DrupalWiki एकीकरण को अस्थायी रूप से अक्षम करने पर विचार करें। यदि यह संभव नहीं है, तो सुनिश्चित करें कि DrupalWiki URL को केवल विश्वसनीय स्रोतों से ही कॉन्फ़िगर किया गया है और इनपुट को ठीक से मान्य किया गया है। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ ट्रैवर्सल हमलों को ब्लॉक करने के लिए नियमों को कॉन्फ़िगर किया जा सकता है।