Podatności ChromaDB
4 znanych podatności CVE w ChromaDB, przetłumaczonych i ocenionych.
- CVE-2026-45829Krytyczne
Podatność w ChromaDB Python (wersja 1.0.0 i nowsze) umożliwia niezautoryzowanemu atakującemu wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modeli z włączoną opcją trust_remote_code do endpointu /api/v2/tenants/{tenant}/databases/{db}/collections. Luka występuje przed uwierzytelnieniem.
- CVE-2026-45833Wysokie
Podatność na wstrzykiwanie kodu w ChromaDB w wersji 0.4.17 i nowszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami UPDATE_COLLECTION wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modelu z parametrem trust_remote_code ustawionym na true.
- CVE-2026-45832Wysokie
Podatność w ChromaDB umożliwia ominięcie kontroli autoryzacji poprzez wykorzystanie endpointów V1, które przekazują wartość None dla dzierżawcy i bazy danych do warstwy autoryzacyjnej.
- CVE-2026-45830Wysokie
W ChromaDB w wersji 0.4.17 i nowszych brakuje walidacji autoryzacji, co pozwala uwierzytelnionym użytkownikom na dowolny odczyt, zapis, aktualizację lub usuwanie danych w kolekcjach dowolnego dzierżawcy (tenanta), niezależnie od ich przynależności.