PT-2025-52256 · Unknown · Anything-Llm

Zhihuang Liu · Publicado 2025-12-18 · Atualizado 2025-12-20 · CVE-2025-63390

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas AnythingLLM versão 1.8.5

Descrição Um bypass de autenticação permite que atacantes remotos não autenticados enumerem e recuperem informações detalhadas sobre todos os workspaces configurados. O problema ocorre devido à falta de verificações de autenticação no endpoint /api/workspaces. Os dados expostos incluem identificadores do workspace (id, name, slug), configurações do modelo de IA (chatProvider, chatModel, agentProvider), prompts do sistema (openAiPrompt), parâmetros operacionais (temperature, history length, similarity thresholds), configurações de busca vetorial, modos de chat e timestamps.

Recomendações Aplique verificações de autenticação ao endpoint /api/workspaces para prevenir acesso não autorizado aos detalhes de configuração do workspace.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2025-63390

Produtos afetados

Anything-Llm

Referências · 8

• https://github.com/Mintplex-Labs/anything-llm/issues · Nota
• https://osv.dev/vulnerability/CVE-2025-63390 · Aviso do Fabricante
• https://gist.github.com/Cristliu/ba529c99abec87102e5ef36435d02a6d · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-63390 · Nota de Segurança
• https://twitter.com/CVEnew/status/2002487747202986329 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2001838829402009998 · Publicação no Twitter
• https://gist.github.com/Cristliu/0897bceac5fdc2d945304b5087a84f14 · Nota
• https://t.me/CVEtracker/40157 · Publicação no Telegram