CVE-2026-72917
Publiée le 2026-08-10 · Dernière modification le 2026-10-24
Les instances d'AnythingLLM utilisant les versions 1.0.0 à 1.15.0 sont vulnérables à une prise de contrôle de compte via le processus de récupération du mot de passe. Un attaquant non authentifié disposant d'un accès réseau peut contourner la vérification de sécurité à deux codes en soumettant deux fois le même code de récupération avec des espaces différents, lui permettant ainsi de réinitialiser le mot de passe de n'importe quel utilisateur, y compris les administrateurs. Cela nécessite que l'attaquant connaisse déjà le nom d'utilisateur de la cible ainsi qu'au moins un code de récupération valide.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AnythingLLM is an application that turns pieces of content into context that any LLM can use as references during chatting. From 1.0.0 to 1.15.0, AnythingLLM's unauthenticated account-recovery flow in server/utils/PasswordRecovery/index.js uses recoverAccount() to deduplicate the raw recoveryCodes values before trimming them, so one valid code submitted twice with different surrounding whitespace can satisfy the two-code check. Each normalized value can also match the same stored hash instead of consuming a distinct hash. An attacker who knows the target username and one recovery code can call POST /api/system/recover-account in multi-user mode, receive a password-reset token, and use POST /api/system/reset-password to take over the account, including an administrator account.