CVE-2026-90602

NiskieCVSS 3.5

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

W Anil-matcha Open-Generative-AI do wersji 1.0.11/2.0.0 wykryto podatność w funkcji renderHistory w pliku ImageStudio.js komponentu Studio Components. Manipulacja prowadzi do cross-site scripting (XSS). Atak może być zainicjowany zdalnie. Pull request naprawiający oczekuje na akceptację.

Ocena ryzyka

Zdalny atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika.

Rekomendacja

Śledź pull request naprawiający i zastosuj go, gdy tylko zostanie zaakceptowany. W międzyczasie rozważ ograniczenie dostępu do aplikacji lub wdrożenie dodatkowych filtrów XSS.

Inne podatności w Open-Generative-AI

CVE-2026-90603Wysokie
Wykryto podatność w Anil-matcha Open-Generative-AI do wersji 1.0.11/2.0.0. Dotyczy ona nieznanej funkcjonalności pliku /api/upload-binary w komponencie S3 Upload, gdzie manipulacja argumentem x-proxy-target-url prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a poprawka została oznaczona jako f013270957f75e439eaf97eb2a93decb32a4543e.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in Anil-matcha Open-Generative-AI up to 1.0.11/2.0.0. Affected by this vulnerability is the function renderHistory of the file ImageStudio.js of the component Studio Components. This manipulation causes cross site scripting. The attack may be initiated remotely. The pull request to fix this issue awaits acceptance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS