CVE-2026-7844
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W projekcie Langchain-Chatchat do wersji 0.3.1.3 wykryto podatność polegającą na braku uwierzytelnienia w komponencie Compatible File Service. Funkcje files/list_files/retrieve_file/retrieve_file_content/delete_file w pliku openai_routes.py nie wymagają uwierzytelnienia. Atak wymaga dostępu do sieci lokalnej. Exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do plików i operacji na nich przez atakującego w sieci lokalnej, co może prowadzić do wycieku danych lub ich usunięcia.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do sieci lokalnej oraz monitorowanie projektu pod kątem wydania łatki. Do czasu aktualizacji należy ręcznie zabezpieczyć endpointy.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in chatchat-space Langchain-Chatchat up to 0.3.1.3. This vulnerability affects the function files/list_files/retrieve_file/retrieve_file_content/delete_file of the file libs/chatchat-server/chatchat/server/api_server/openai_routes.py of the component Compatible File Service. The manipulation results in missing authentication. The attacker must have access to the local network to execute the attack. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.