CVE-2026-58473
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- —
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 7 Temmuz 2026
Cognee 1.2.0 sürümünden önceki sürümlerinde, yetkisiz erişimi engelleme konusunda bir zafiyet bulunmaktadır ve bu, kimlik doğrulamış saldırganların bir hesap kaydettikten sonra ayarları endpoint'ini çağırmasına olanak tanır, bu da yönetici veya süper kullanıcı kontrolü yapmaz. Saldırganlar, işlem geneli singleton yapılandırma önbelleğini kullanarak tüm LLM işlemlerini instance geneli bir saldırgana ait endpoint'e yönlendirebilir ve böylece tüm kullanıcıların promt'lerini, yüklenen belgelerini, çıkarılan varlıklarını ve bilgi grafiği içeriğini dışarı aktarmalarına olanak tanır.
Orijinal açıklama (İngilizce)
Cognee before 1.2.0 contains an improper access control vulnerability that allows unauthenticated attackers to overwrite the global LLM provider configuration by self-registering an account and calling the settings endpoint, which performs no admin or superuser check. Attackers can redirect all LLM operations instance-wide to an attacker-controlled endpoint by exploiting the process-wide singleton configuration cache, enabling exfiltration of prompts, uploaded documents, extracted entities, and knowledge graph content from all users.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.