Chromadb · Chromadb · CVE-2026-45829
**Nome do Software Vulnerável e Versões Afetadas**
ChromaDB versões 1.0.0 até 1.5.8
**Description**
Um problema de injeção de código pré-autenticação existe no projeto Python do ChromaDB. Um invasor remoto não autenticado pode executar código arbitrário no servidor enviando uma solicitação para o endpoint '/api/v2/tenants/{tenant}/databases/{db}/collections'. O ataque é realizado fornecendo um repositório de modelo malicioso (como um modelo do Hugging Face) e definindo a variável `trust remote code` como true. O servidor processa a configuração do modelo e executa o código antes de realizar as verificações de autenticação, permitindo a tomada total do controle do servidor, escalonamento de privilégios, movimentação lateral e o roubo de informações confidenciais, incluindo chaves de API e variáveis de ambiente. Mais de 4.500 instâncias foram identificadas online, com aproximadamente 73% das instâncias expostas estimadas como vulneráveis.
**Recommendations**
Restrinja o acesso de rede à porta do ChromaDB apenas a clientes confiáveis.
Como medida paliativa temporária, alterne para o método de execução baseado em Rust (chroma run ou imagens Docker), pois o servidor FastAPI baseado em Python é o único componente afetado.