Vulnerabilidad en AnythingLLM de Mintplex-Labs (CVE-2026-47713)

AnythingLLM es una aplicación que convierte fragmentos de contenido en contexto que cualquier LLM puede usar como referencias durante el chat. Antes de la versión 1.13.0, un token de dispositivo móvil aprobado creado en modo de usuario único puede sobrevivir a la migración de usuario único a multiusuario incluso cuando el registro del dispositivo tiene userId = null. En modo multiusuario, ese token obsoleto sigue siendo aceptado por el middleware de autenticación móvil. Dado que no hay ningún usuario adjunto a la solicitud, los manejadores móviles posteriores recurren a ramas de acceso a datos sin ámbito y devuelven espacios de trabajo y contenido de espacio de trabajo sin filtrado por usuario. Esto permite que un token móvil previo a la migración enumere un espacio de trabajo asignado solo a otro usuario y recupere metadatos de hilos y contenido de chat propiedad de la víctima en modo multiusuario. Esta vulnerabilidad se corrige en la versión 1.13.0.