Към съдържанието
Търсене

CVE-2026-42277: onyx-dot-app onyx, заобикаляне на вход и права

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Onyx is an open-source AI platform. Prior to versions 3.0.9, 3.1.6, and 3.2.6, the GET /chat/file/{file_id} endpoint allows any authenticated user to download any other user's uploaded files by providing the file UUID. The endpoint verifies the caller is authenticated but never checks that the file belongs to them. An attacker who knows or obtains a file UUID can access confidential documents, chat attachments, and other files uploaded by any user in the system. This issue has been patched in versions 3.0.9, 3.1.6, and 3.2.6.

Засегнати продукти

  • onyx-dot-app onyx: < 3.0.9; >= 3.1.0, < 3.1.6; >= 3.2.0, < 3.2.6

Вид слабост

История

  • 8 май 2026 Публикувано

Други уязвимости в onyx-dot-app onyx

Първоизточници

CVE-2026-42277: onyx-dot-app onyx, заобикаляне на вход и права | freedomonline.bg