Path Traversal in mintplex-labs/anything-llm

mintplex-labs/anything-llm (संस्करण 1.9.1 तक और सहित) में CVE-2026-5627 एक पथ पारगमन भेद्यता के कारण एक महत्वपूर्ण जोखिम प्रस्तुत करता है। यह खामी हमलावरों को सर्वर पर मनमाना .json फ़ाइलों तक पहुंचने या हटाने की अनुमति देती है, जिससे डेटा की गोपनीयता और अखंडता से समझौता होता है। server/utils/agentFlows/index.js में loadFlow और deleteFlow विधियों में path.join और normalizePath का संयोजन मूल कारण है, जो निर्देशिका प्रतिबंधों को बायपास करने में सक्षम बनाता है। उदाहरण के लिए, एक हमलावर कॉन्फ़िगरेशन फ़ाइलों में संग्रहीत संवेदनशील जानकारी पढ़ सकता है या महत्वपूर्ण वर्कफ़्लो को हटा सकता है, जिससे एप्लिकेशन की कार्यक्षमता बाधित होती है। CVSS गंभीरता स्कोर 9.1 तत्काल ध्यान देने की आवश्यकता वाले एक गंभीर जोखिम का संकेत देता है।

1. आरक्षित2026-04-05
2. प्रकाशित2026-04-07
3. EPSS अद्यतन2026-04-15

अनुशंसित समाधान mintplex-labs/anything-llm को संस्करण 1.12.1 या उच्चतर में अपग्रेड करना है। यह संस्करण path.join और normalizePath फ़ंक्शंस में उपयोग करने से पहले उपयोगकर्ता इनपुट को अधिक मजबूत रूप से मान्य करके पथ पारगमन भेद्यता को ठीक करता है। इसके अतिरिक्त, संवेदनशील फ़ाइलों तक पहुंच को सीमित करने के लिए सर्वर अनुमति कॉन्फ़िगरेशन की समीक्षा करें। नियमित सुरक्षा परीक्षण और भेद्यता स्कैनिंग सहित एक सॉफ्टवेयर सुरक्षा नीति को लागू करने से भविष्य की घटनाओं को रोकने में मदद मिल सकती है। संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी भी एक महत्वपूर्ण निवारक उपाय है।