CVE-2026-82281

WysokieCVSS 7.4

Opublikowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Kotaemon do wersji 0.12.0 nie waliduje poprawnie własności rozmów w funkcjach select_conv, delete_conv, rename_conv i on_set_public_conversation w pliku control.py. Atakujący mogą czytać historie czatów innych użytkowników, usuwać rozmowy lub zmieniać ich nazwy, podając dowolne identyfikatory rozmów bez odpowiednich kontroli autoryzacji.

Ocena ryzyka

Ryzyko obejmuje naruszenie prywatności użytkowników, nieautoryzowane usuwanie danych oraz manipulację rozmowami, co może prowadzić do utraty danych i zaufania.

Rekomendacja

Zaleca się aktualizację Kotaemon do wersji z poprawką oraz wdrożenie kontroli dostępu opartej na własności rozmów. Należy również przeprowadzić audyt kodu pod kątem podobnych luk.

Inne podatności w Kotaemon

CVE-2026-69098Krytyczne
Kotaemon do wersji 0.12.0 zawiera podatność na niebezpieczną deserializację w punkcie końcowym check_connection, która pozwala nieuwierzytelnionym atakującym na tworzenie instancji dowolnych klas Pythona poprzez dostarczenie spreparowanych danych YAML/JSON z polem __type__. Atakujący mogą wykorzystać to do nadpisania pola __type__ wartością subprocess.check_output i dowolnymi argumentami, osiągając zdalne wykonanie kodu z uprawnieniami procesu aplikacji.

Oryginalny opis (angielski, źródło NVD)

Kotaemon through 0.12.0 fails to properly validate conversation ownership in select_conv, delete_conv, rename_conv, and on_set_public_conversation functions in control.py. Attackers can read other users' chat histories, delete conversations, or rename conversations by supplying arbitrary conversation identifiers without proper authorization checks.