CVE-2026-77294
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
TREK to wspólne narzędzie do planowania podróży. Przed wersją 3.3.0 TREK umożliwia uwierzytelnionemu użytkownikowi przechowywanie kontrolowanego przez osobę atakującą adresu llm_base_url za pośrednictwem interfejsu API ustawień, gdy włączona jest funkcja LLM_PARSING. Aby wyzwolić podatną na ataki ścieżkę importu wspomaganą przez sztuczną inteligencję, wymagane jest uprawnienie do zapisu w docelowej instancji podróży. Wartość jest używana przez klientów w serwerach server/src/nest/llm-parse/clients/openai-kompatybilny.client.ts, server/src/nest/llm-parse/clients/anthropic.client.ts i server/src/nest/llm-parse/router/ollama-format.client.ts bez stosowania zabezpieczenia przed fałszerstwem po stronie serwera. Wyzwolenie analizy podróży wspomaganej przez sztuczną inteligencję powoduje, że serwer żąda podanego miejsca docelowego, a tekst odpowiedzi na błąd nadrzędny może zostać zwrócony w ostrzeżeniach analizowania. Umożliwia to wewnętrzne wykrywanie usług i dostęp do metadanych w chmurze za pośrednictwem łącza lokalnego, z możliwym ujawnieniem danych uwierzytelniających infrastruktury i późniejszą modyfikacją chronionych zasobów chmury. Ten problem został rozwiązany w wersji 3.3.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/liketrek/TREK/commit/19064b39176660f3be3a2df198c87949504046e2
- https://github.com/liketrek/TREK/pull/1520
- https://github.com/liketrek/TREK/releases/tag/v3.3.0
- https://github.com/liketrek/TREK/security/advisories/GHSA-fmq9-ggh3-647p
- https://github.com/liketrek/TREK/security/advisories/GHSA-fmq9-ggh3-647p
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org