Vulnerabilità ed exploit

ChromaDB Model Trust Bug Apre un Server Takeover Pre-Auth

ChromaDB sta trattando gli identificatori di modello forniti dal client come input affidabile prima dell'auth, quindi le istanze esposte possono consegnare agli attacker accesso alla shell prima che venga eseguito qualsiasi controllo di login. Questo trasforma il percorso di selezione del modello in code execution, e patchare in seguito non annulla i secret che una richiesta ostile può leggere lungo il percorso.

3 fonti · 22 mag

Cronologia

• 22 mag Segnalato da CSO Online
• 19 mag Segnalato da BleepingComputer

Fonti

• 22 mag CSO Online

  Unpatched ChromaDB flaw leaves servers open to remote code execution

  The ChromaToast vulnerability can be exploited by forcing the ChromaDB API server to fetch and load maliciously crafted AI models before authentication is checked.

  originale

• 19 mag BleepingComputer

  Max-severity flaw in ChromaDB for AI apps allows server hijacking

  A max-severity vulnerability in the latest Python FastAPI version of the ChromaDB project allows unauthenticated attackers to run arbitrary code on exposed servers.

  originale

• 19 mag SecurityWeek

  Unpatched ChromaDB Vulnerability Can Lead to Server Takeover

  The security defect can be exploited remotely, without authentication, to execute arbitrary code and leak sensitive information.

  originale

Part of the PlainSec briefing for 2026-05-20

Every edition of this story: ChromaDB Model Trust Bug Apre un Server Takeover Pre-Auth

Altro da oggi

• Rilascio malevolo su npm ha esposto segreti prima che apparisse una CVE
• Attrezzature critiche per la produzione esposte da un difetto PAN-OS
• I router industriali diventano infrastruttura botnet riutilizzabile