CVE-2025-63914
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Cinnamon kotaemon 0.11.0 funkcja _may_extract_zip w pliku libs/ktem/ktem/index/file/ui.py nie sprawdza zawartości przesyłanych plików ZIP. Mimo że dane są rozpakowywane do tymczasowego folderu, przesłanie bomby ZIP może spowodować nadmierne zużycie zasobów serwera podczas dekompresji, a jeśli później nie zostaną przesłane kolejne pliki, rozpakowane dane mogą zająć miejsce na dysku i doprowadzić do niedostępności systemu.
Ocena ryzyka
Każdy użytkownik mający uprawnienia do przesyłania plików może przeprowadzić atak typu denial of service, wyczerpując zasoby serwera lub zapełniając dysk. Może to zakłócić dostępność usługi dla wszystkich użytkowników.
Rekomendacja
Zaktualizuj kotaemon do wersji zawierającej poprawkę lub wdroż walidację zawartości archiwów ZIP przed rozpakowaniem (limity rozmiaru, liczby plików, współczynnika kompresji). Rozważ ograniczenie uprawnień do przesyłania plików.
Inne podatności w kotaemon
Zobacz wszystkie- CVE-2026-69098Krytyczne
Kotaemon do wersji 0.12.0 zawiera podatność na niebezpieczną deserializację w punkcie końcowym check_connection, która pozwala nieuwierzytelnionym atakującym na tworzenie instancji dowolnych klas Pythona poprzez dostarczenie spreparowanych danych YAML/JSON z polem __type__. Atakujący mogą wykorzystać to do nadpisania pola __type__ wartością subprocess.check_output i dowolnymi argumentami, osiągając zdalne wykonanie kodu z uprawnieniami procesu aplikacji.
- CVE-2026-86867Średnie
Interfejs czatu wieloosobowego Kotaemon w Cinnamon (wszystkie wersje do v0.12.0) zawiera wiele podatności z powodu nieprawidłowej autoryzacji i niewłaściwych kontroli dostępu. Cztery metody obsługi w `libs/ktem/ktem/pages/chat/control.py` ładują rekord Conversation po jego ID bez porównywania `user_id` żądającego z właścicielem rozmowy `Conversation.user`. Pozwala to każdemu uwierzytelnionemu użytkownikowi na: 1. Odczyt transkrypcji czatu innych użytkowników, historii wyszukiwania RAG, wygenerowanych wykresów AI i sugestii czatu. 2. Trwałe usunięcie rozmowy innego użytkownika. 3. Zmianę nazwy rozmowy innego użytkownika. 4. Nadpisanie listy sugestii czatu rozmowy innego użytkownika.
- CVE-2026-82281Wysokie
Kotaemon do wersji 0.12.0 nie waliduje poprawnie własności rozmów w funkcjach select_conv, delete_conv, rename_conv i on_set_public_conversation w pliku control.py. Atakujący mogą czytać historie czatów innych użytkowników, usuwać rozmowy lub zmieniać ich nazwy, podając dowolne identyfikatory rozmów bez odpowiednich kontroli autoryzacji.
- CVE-2025-56527Wysokie
W Kotaemon 0.11.0 hasła są przechowywane w postaci jawnej w localStorage klienta. Luka umożliwia dostęp do haseł poprzez ataki XSS lub fizyczny dostęp do przeglądarki.
- CVE-2025-56526Średnie
W aplikacji Kotaemon 0.11.0 występuje podatność typu cross-site scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu poprzez spreparowany plik PDF.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Cinnamon kotaemon 0.11.0. The _may_extract_zip function in the \libs\ktem\ktem\index\file\ui.py file does not check the contents of uploaded ZIP files. Although the contents are extracted into a temporary folder that is cleared before each extraction, successfully uploading a ZIP bomb could still cause the server to consume excessive resources during decompression. Moreover, if no further files are uploaded afterward, the extracted data could occupy disk space and potentially render the system unavailable. Anyone with permission to upload files can carry out this attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS