CVE-2026-85664

WysokieCVSS 7.5

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Chroma 1.5.9 nie sprawdza maksymalnych granic parametrów indeksu HNSW: max_neighbors, ef_construction i ef_search w żądaniach tworzenia kolekcji. Nieuwierzytelnieni atakujący mogą podać dowolnie duże wartości parametrów, aby wyczerpać pamięć serwera i spowodować odmowę usługi podczas kompakcji indeksu.

Ocena ryzyka

Ryzyko obejmuje wyczerpanie zasobów serwera i przerwanie działania usługi, co może prowadzić do niedostępności systemu.

Rekomendacja

Wprowadź walidację maksymalnych wartości dla parametrów HNSW w żądaniach tworzenia kolekcji i ogranicz dostęp do nieuwierzytelnionych żądań.

Inne podatności w Chroma

CVE-2026-92782Wysokie
Chroma do wersji 1.5.9 nie waliduje segmentów dzierżawcy i bazy danych podczas rozwiązywania kolekcji, umożliwiając uwierzytelnionym atakującym dostęp do kolekcji innych dzierżawców poprzez znajomość identyfikatora kolekcji. Atakujący mogą odczytywać, modyfikować i aktualizować rekordy w obcych kolekcjach, wysyłając żądania pod własną ścieżką dzierżawcy i omijając kontrole autoryzacji.

Oryginalny opis (angielski, źródło NVD)

Chroma 1.5.9 fails to validate maximum bounds on HNSW index parameters max_neighbors, ef_construction, and ef_search in collection-create requests. Unauthenticated attackers can supply arbitrarily large parameter values to exhaust server memory and cause denial of service during index compaction.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS