CVE-2026-82284

WysokieCVSS 8.1

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Quivr do wersji 0.0.322 nie waliduje własności czatów w punktach końcowych GET /chat/{chat_id}/history, DELETE /chat/{chat_id} oraz POST /chat/{chat_id}/question/answer. Uwierzytelnieni atakujący mogą czytać historie rozmów innych użytkowników, w tym zawartość prywatnych baz wiedzy, usuwać dowolne czaty oraz wstrzykiwać zmyślone wiadomości do rozmów innych użytkowników.

Ocena ryzyka

Ryzyko obejmuje naruszenie poufności danych użytkowników, nieautoryzowane usuwanie danych oraz manipulację treścią rozmów, co może prowadzić do utraty zaufania i problemów prawnych.

Rekomendacja

Zaleca się aktualizację Quivr do wersji z poprawką oraz wdrożenie kontroli dostępu opartej na własności zasobów. Należy również regularnie audytować logi dostępu.

Inne podatności w Quivr

CVE-2026-82280Wysokie
Quivr do wersji 0.0.322 nie waliduje własności w punktach końcowych promptów, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnego promptu po identyfikatorze. Atakujący z dostępem tylko do odczytu do współdzielonych mózgów mogą odczytać ujawnione identyfikatory promptów i nadpisać prompty systemowe, wpływając na wszystkich użytkowników mózgu.

Oryginalny opis (angielski, źródło NVD)

Quivr versions through 0.0.322 fail to validate chat ownership in the GET /chat/{chat_id}/history, DELETE /chat/{chat_id}, and POST /chat/{chat_id}/question/answer endpoints. Authenticated attackers can read other users' conversation histories including private knowledge base content, delete arbitrary chats, and inject fabricated messages into other users' conversations.