CVE-2026-8335

WysokieCVSS 7.1

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 10/06/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.02%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Brak weryfikacji uwierzytelnienia na końcówce Aix-DB '/llm/process_llm_out' pozwala nieautoryzowanym klientom na wykonywanie dowolnych zapytań SQL 'SELECT' i pobieranie danych z bazy danych. Końcówka ta nie posiada walidacji tokenów, która jest wymagana na wszystkich innych końcówkach aplikacji.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do danych w bazie, co może prowadzić do wycieku informacji oraz naruszenia prywatności użytkowników.

Rekomendacja

Zaleca się wprowadzenie odpowiednich mechanizmów uwierzytelniania dla końcówki '/llm/process_llm_out' oraz aktualizację do najnowszej wersji oprogramowania, gdy tylko będzie dostępna poprawka.

Inne podatności w Aix-DB

CVE-2026-82881Średnie
Aix-DB do wersji 1.2.4 renderuje markdown z włączonym surowym HTML w powiązaniach v-html bez sanityzacji, co umożliwia ataki typu stored cross-site scripting. Atakujący mogą wstrzykiwać złośliwy HTML i JavaScript przez treść markdown w odpowiedziach czatu, opisach umiejętności lub wiadomościach wiedzy, które wykonują się w przeglądarkach użytkowników podczas przeglądania.

Oryginalny opis (angielski, źródło NVD)

A missing authentication check on the Aix‑DB "/llm/process_llm_out" endpoint allows unauthenticated clients to execute arbitrary "SELECT" SQL queries and retrieve database data, as the endpoint lacks the token validation enforced on all other application endpoints. All releases up to 1.2.4 are considered vulnerable. Status of next releases is unknown as the vulnerability has not been addressed by any patch.