CVE-2026-90603

WysokieCVSS 7.3

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 16/09/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Wykryto podatność w Anil-matcha Open-Generative-AI do wersji 1.0.11/2.0.0. Dotyczy ona nieznanej funkcjonalności pliku /api/upload-binary w komponencie S3 Upload, gdzie manipulacja argumentem x-proxy-target-url prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a poprawka została oznaczona jako f013270957f75e439eaf97eb2a93decb32a4543e.

Ocena ryzyka

Nieuwierzytelniony lub uprawniony zdalny atakujący może przesłać dowolne pliki na serwer, co może prowadzić do wykonania złośliwego kodu, przejęcia usługi lub wycieku danych.

Rekomendacja

Zastosuj poprawkę f013270957f75e439eaf97eb2a93decb32a4543e lub zaktualizuj Open-Generative-AI do wersji zawierającej tę poprawkę, a do czasu aktualizacji ogranicz dostęp do punktu końcowego /api/upload-binary.

Inne podatności w Open-Generative-AI

CVE-2026-90602Niskie
W Anil-matcha Open-Generative-AI do wersji 1.0.11/2.0.0 wykryto podatność w funkcji renderHistory w pliku ImageStudio.js komponentu Studio Components. Manipulacja prowadzi do cross-site scripting (XSS). Atak może być zainicjowany zdalnie. Pull request naprawiający oczekuje na akceptację.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in Anil-matcha Open-Generative-AI up to 1.0.11/2.0.0. Affected by this issue is some unknown functionality of the file /api/upload-binary of the component S3 Upload. Such manipulation of the argument x-proxy-target-url leads to unrestricted upload. The attack may be launched remotely. The name of the patch is f013270957f75e439eaf97eb2a93decb32a4543e. Applying a patch is advised to resolve this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS