Plataforma
nodejs
Componente
anything-llm
Corrigido em
1.12.1
CVE-2026-5627 represents a path traversal vulnerability discovered in mintplex-labs/anything-llm versions prior to 1.12.1, specifically within the AgentFlows component. This flaw allows attackers to bypass directory restrictions by manipulating user input, enabling unauthorized access or deletion of sensitive files. The vulnerability impacts versions up to 1.12.1 and a patch is available in version 1.12.1.
A vulnerabilidade CVE-2026-5627 em mintplex-labs/anything-llm (versões até 1.9.1) representa um risco significativo devido a uma falha de travessia de caminho no componente AgentFlows. Essa falha permite que atacantes acessem ou excluam arquivos .json arbitrários no servidor, comprometendo a confidencialidade e a integridade dos dados. A combinação de path.join e normalizePath nos métodos loadFlow e deleteFlow dentro de server/utils/agentFlows/index.js é a causa raiz, permitindo a evasão das restrições de diretório. Um atacante poderia, por exemplo, ler informações confidenciais armazenadas em arquivos de configuração ou excluir fluxos de trabalho críticos, interrompendo o funcionamento da aplicação. A severidade CVSS de 9.1 indica um risco crítico que requer atenção imediata.
A vulnerabilidade é explorada por meio da manipulação da entrada fornecida aos métodos loadFlow e deleteFlow. Um atacante pode construir uma URL maliciosa que inclua sequências de caracteres especiais que, quando combinadas com path.join e normalizePath, permitem o acesso a diretórios fora do escopo pretendido. Por exemplo, usando ../ para subir um nível na hierarquia de diretórios. A falta de uma validação adequada da entrada do usuário permite que os atacantes evitem as proteções de segurança e acessem arquivos sensíveis. A exploração requer acesso à aplicação por meio de uma interface web ou API.
Status do Exploit
EPSS
0.04% (percentil 13%)
CISA SSVC
Vetor CVSS
A solução recomendada é atualizar para a versão 1.12.1 ou superior de mintplex-labs/anything-llm. Esta versão corrige a vulnerabilidade de travessia de caminho implementando uma validação mais robusta da entrada do usuário antes de usá-la nas funções path.join e normalizePath. Além disso, recomenda-se revisar as configurações de permissões do servidor para limitar o acesso a arquivos sensíveis. Implementar uma política de segurança de software que inclua testes de segurança regulares e análise de vulnerabilidades pode ajudar a prevenir incidentes futuros. Monitorar os logs do servidor em busca de atividades suspeitas também é uma medida preventiva importante.
Actualice el paquete anything-llm a la versión 1.12.1 o superior para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la forma en que se manejan las entradas del usuario, evitando el acceso no autorizado a archivos sensibles en el servidor.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
As versões do anything-llm até a 1.9.1 são vulneráveis a CVE-2026-5627.
Verifique a versão instalada do anything-llm em seu projeto. Se for inferior a 1.12.1, você é vulnerável.
Como medida temporária, restrinja o acesso aos arquivos .json sensíveis no servidor e monitore os logs em busca de atividade suspeita.
Ferramentas de análise de vulnerabilidades estão sendo desenvolvidas para detectar esta vulnerabilidade. Consulte as fontes de segurança para obter atualizações.
CVSS 9.1 indica uma vulnerabilidade crítica com um alto grau de explorabilidade e um impacto significativo na confidencialidade, integridade e disponibilidade do sistema.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.