标题: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') in anything-llm 漏洞类型: Path Traversal CVE ID: CVE-2026-24478 严重性: High (7.2/10) 影响的包: anything-llm 影响版本: All versions including latest 1.10.0 修复版本: 无列出（仅指出了影响的版本） 影响的文件: collector/utils/extensions/DrupalWiki/DrupalWiki/index.js 问题: 在 方法中，文件名从外部 API 响应中直接提取，未经任何清理，并与 拼接形成文件路径。 攻击者可执行的操作: 通过提供如 的文件名，跳出预期目录并写入任何该进程可写入的位置的文件。 证明概念 (PoC): - 设置恶意的 DrupalWiki 服务器。 - 触发漏洞利用：配置 AnythingLLM 的 DrupalWiki 扩展指向恶意服务器。 - 验证：检查文件是否在服务器上存在，以及视频重现。 影响: 任意文件写入漏洞。影响服务器文件系统。可能的后果包括远程代码执行 (通过写入 cron 目录、 init 脚本或覆盖应用代码/配置)，以及拒绝服务 (通过覆盖关键系统文件)。 弱项: CWE-22 (不正确的限制到受限目录的路径名)。