Platform
nodejs
Component
anything-llm
Opgelost in
1.12.1
Een Path Traversal kwetsbaarheid is ontdekt in mintplex-labs/anything-llm versies tot en met 1.9.1, specifiek in de AgentFlows component. Door onjuiste verwerking van gebruikersinvoer in de loadFlow en deleteFlow methoden kunnen aanvallers directory restricties omzeilen en willekeurige .json bestanden op de server benaderen of verwijderen. De kwetsbaarheid is verholpen in versie 1.12.1.
CVE-2026-5627 in mintplex-labs/anything-llm (versies tot en met 1.9.1) vormt een aanzienlijk risico vanwege een path traversal kwetsbaarheid in de AgentFlows component. Deze fout maakt het aanvallers mogelijk om willekeurige .json bestanden op de server te lezen of te verwijderen, waardoor de vertrouwelijkheid en integriteit van de gegevens in gevaar komt. De combinatie van path.join en normalizePath in de loadFlow en deleteFlow methoden binnen server/utils/agentFlows/index.js is de hoofdoorzaak, waardoor het mogelijk is om directorybeperkingen te omzeilen. Een aanvaller zou bijvoorbeeld gevoelige informatie kunnen lezen die is opgeslagen in configuratiebestanden of kritieke workflows kunnen verwijderen, waardoor de werking van de applicatie wordt verstoord. De CVSS-severity score van 9.1 duidt op een kritiek risico dat onmiddellijke aandacht vereist.
De kwetsbaarheid wordt uitgebuit door middel van manipulatie van de invoer die aan de loadFlow en deleteFlow methoden wordt verstrekt. Een aanvaller kan een kwaadaardige URL construeren die speciale tekens bevat die, wanneer ze worden gecombineerd met path.join en normalizePath, toegang tot directories buiten de beoogde scope mogelijk maken. Bijvoorbeeld, door ../ te gebruiken om een niveau omhoog in de directory hiërarchie te navigeren. Het ontbreken van adequate invoervalidatie stelt aanvallers in staat om beveiligingsbeschermingen te omzeilen en toegang te krijgen tot gevoelige bestanden. Exploitatie vereist toegang tot de applicatie via een web interface of API.
Exploit Status
EPSS
0.04% (13% percentiel)
CISA SSVC
CVSS-vector
De aanbevolen oplossing is om te upgraden naar versie 1.12.1 of hoger van mintplex-labs/anything-llm. Deze versie corrigeert de path traversal kwetsbaarheid door een robuustere validatie van de gebruikersinvoer te implementeren voordat deze wordt gebruikt in de path.join en normalizePath functies. Controleer bovendien de server permissie configuraties om de toegang tot gevoelige bestanden te beperken. Het implementeren van een software beveiligingsbeleid dat regelmatige beveiligingstests en kwetsbaarheidsscans omvat, kan helpen om toekomstige incidenten te voorkomen. Het monitoren van server logs op verdachte activiteiten is ook een belangrijk preventief maatregel.
Actualice el paquete anything-llm a la versión 1.12.1 o superior para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la forma en que se manejan las entradas del usuario, evitando el acceso no autorizado a archivos sensibles en el servidor.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Versies van anything-llm tot en met 1.9.1 zijn kwetsbaar voor CVE-2026-5627.
Controleer de geïnstalleerde versie van anything-llm in uw project. Als deze kleiner is dan 1.12.1, bent u kwetsbaar.
Als tijdelijke maatregel, beperk de toegang tot gevoelige .json bestanden op de server en monitor de logs op verdachte activiteiten.
Er worden kwetsbaarheidsscanners ontwikkeld om deze kwetsbaarheid te detecteren. Raadpleeg veiligheidsbronnen voor updates.
CVSS 9.1 duidt op een kritieke kwetsbaarheid met een hoge mate van uitbuitbaarheid en een aanzienlijke impact op de vertrouwelijkheid, integriteit en beschikbaarheid van het systeem.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.