CVE-2026-45830
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W ChromaDB w wersji 0.4.17 i nowszych brakuje walidacji autoryzacji, co pozwala uwierzytelnionym użytkownikom na dowolny odczyt, zapis, aktualizację lub usuwanie danych w kolekcjach dowolnego dzierżawcy (tenanta), niezależnie od ich przynależności.
Ocena ryzyka
Organizacja narażona jest na naruszenie izolacji danych między dzierżawcami, co może prowadzić do wycieku poufnych informacji, nieautoryzowanej modyfikacji lub utraty danych.
Rekomendacja
Należy natychmiast zaktualizować ChromaDB do wersji zawierającej poprawkę autoryzacji lub zastosować tymczasowe reguły firewall/blokady dostępu do API do czasu wydania łatki.
Inne podatności w ChromaDB
Zobacz wszystkie- CVE-2026-45829Krytyczne
Podatność w ChromaDB Python (wersja 1.0.0 i nowsze) umożliwia niezautoryzowanemu atakującemu wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modeli z włączoną opcją trust_remote_code do endpointu /api/v2/tenants/{tenant}/databases/{db}/collections. Luka występuje przed uwierzytelnieniem.
- CVE-2026-45833Wysokie
Podatność na wstrzykiwanie kodu w ChromaDB w wersji 0.4.17 i nowszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami UPDATE_COLLECTION wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modelu z parametrem trust_remote_code ustawionym na true.
- CVE-2026-45832Wysokie
Podatność w ChromaDB umożliwia ominięcie kontroli autoryzacji poprzez wykorzystanie endpointów V1, które przekazują wartość None dla dzierżawcy i bazy danych do warstwy autoryzacyjnej.
Oryginalny opis (angielski, źródło NVD)
A lack of authorization validation in version 0.4.17 or later of the ChromaDB Python project allows any authenticated users to arbitrarily read, write, update, or delete data in any tenant's collection regardless of which tenant they belong to.