AnythingLLM में स्ट्रीमिंग फेज XSS है जो LLM प्रतिक्रिया इंजेक्शन के माध्यम से RCE तक बढ़ सकता है

यह XSS भेद्यता हमलावर को दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है जो उपयोगकर्ता के ब्राउज़र में निष्पादित होती है। चूंकि यह भेद्यता असुरक्षित Electron कॉन्फ़िगरेशन के कारण RCE की ओर ले जाती है, इसलिए हमलावर सिस्टम पर मनमाना कोड निष्पादित कर सकता है, संवेदनशील डेटा तक पहुंच प्राप्त कर सकता है, या सिस्टम को पूरी तरह से नियंत्रित कर सकता है। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह डिफ़ॉल्ट सेटिंग्स के साथ काम करती है और सामान्य चैट उपयोग से परे किसी भी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं होती है। हमलावर आसानी से दुर्भावनापूर्ण लिंक या स्क्रिप्ट इंजेक्ट कर सकता है जो उपयोगकर्ता के इंटरैक्शन पर निर्भर नहीं करता है।

Users of AnythingLLM Desktop, particularly those handling sensitive data or operating in environments with limited security controls, are at significant risk. Shared hosting environments where multiple users share the same instance of AnythingLLM Desktop are also particularly vulnerable, as an attacker could potentially compromise the entire system.

• javascript / desktop:

Get-Process -Name AnythingLLM | Select-Object -ExpandProperty Path

• javascript / desktop: Check for unusual JavaScript files or modifications within the AnythingLLM installation directory. • javascript / desktop: Monitor Electron process network activity for suspicious requests related to image rendering. • javascript / desktop: Examine the application's configuration files for any signs of tampering or unauthorized modifications.

1. 2026-03-13Disclosure

   disclosure

1. आरक्षित2026-03-12
2. प्रकाशित2026-03-13
3. संशोधित2026-03-16
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने का प्राथमिक तरीका AnythingLLM को नवीनतम संस्करण में अपडेट करना है, जिसमें सुरक्षा पैच शामिल है। यदि तत्काल अपडेट संभव नहीं है, तो Electron कॉन्फ़िगरेशन को मजबूत करने के लिए अस्थायी उपाय किए जा सकते हैं, जैसे कि कंटेंट सिक्योरिटी पॉलिसी (CSP) को लागू करना। CSP ब्राउज़र को केवल विश्वसनीय स्रोतों से संसाधनों को लोड करने की अनुमति देकर XSS हमलों को कम करने में मदद करता है। इसके अतिरिक्त, इनपुट को सैनिटाइज करना और आउटपुट को एन्कोड करना महत्वपूर्ण है ताकि यह सुनिश्चित किया जा सके कि दुर्भावनापूर्ण स्क्रिप्ट को निष्पादित होने से रोका जा सके।