CVE-2026-45833
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie kodu w ChromaDB w wersji 0.4.17 i nowszych umożliwia uwierzytelnionemu atakującemu z uprawnieniami UPDATE_COLLECTION wykonanie dowolnego kodu na serwerze poprzez wysłanie złośliwego repozytorium modelu z parametrem trust_remote_code ustawionym na true.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem ChromaDB, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz potencjalnego rozprzestrzenienia się ataku w infrastrukturze.
Rekomendacja
Należy natychmiast zaktualizować ChromaDB do najnowszej wersji łatającej podatność oraz ograniczyć uprawnienia UPDATE_COLLECTION tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A code injection vulnerability in version 0.4.17 or later of the ChromaDB Python project allows an authenticated attacker to run arbitrary code on the server by sending a malicious model repository and trust_remote_code set to true in the /api/v2/tenants/default_tenant/databases/default_database/collections/{collection_id} if they have the UPDATE_COLLECTION permission.