PT-2026-1141 · Unknown · Anything-Llm

Denizparlak · Publicado 2026-01-03 · Atualizado 2026-04-17 · CVE-2026-21484

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas AnythingLLM (versões afetadas não especificadas)

Descrição O AnythingLLM é um aplicativo desenvolvido para fornecer contexto para Modelos de Linguagem de Grande Porte (LLMs). Antes do commit e287fab56089cf8fcea9ba579a3ecdeca0daa313, a funcionalidade de recuperação de senha exibia mensagens de erro diferentes com base na existência de um nome de usuário, permitindo a enumeração de nomes de usuário. O endpoint da API /password-recovery era vulnerável a esse problema. Isso permitia que um atacante determinasse nomes de usuário válidos ao observar a resposta às solicitações com diferentes valores de username.

Recomendações Atualize para uma versão posterior ao commit e287fab56089cf8fcea9ba579a3ecdeca0daa313.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-204

CWE-203

Identificadores relacionados

CVE-2026-21484

GHSA-47VR-W3VM-69CH

Produtos afetados

Anything-Llm

Referências · 10

• 🔥 https://github.com/Mintplex-Labs/anything-llm/security/advisories/GHSA-47vr-w3vm-69ch · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/21xxx/CVE-2026-21484.json · Exploit
• https://github.com/Mintplex-Labs/anything-llm/commit/e287fab56089cf8fcea9ba579a3ecdeca0daa313 · Correção
• https://osv.dev/vulnerability/CVE-2026-21484 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2007285647070154779 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-21484 · Nota de Segurança
• https://t.me/cveNotify/152887 · Publicação no Telegram
• https://t.me/CVEtracker/41309 · Publicação no Telegram
• https://twitter.com/pdnuclei_bot/status/2045064757661847796 · Publicação no Twitter
• https://t.me/cveNotify/147640 · Publicação no Telegram