p PatchFirst

CVE-2026-58473

CVE-2026-58473 · Cognee < 1.2.0 Unauthorized LLM Configuration Overwrite via /api/v1/settings

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cognee before 1.2.0 contains an improper access control vulnerability that allows unauthenticated attackers to overwrite the global LLM provider configuration by self-registering an account and calling the settings endpoint, which performs no admin or superuser check. Attackers can redirect all LLM operations instance-wide to an attacker-controlled endpoint by exploiting the process-wide singleton configuration cache, enabling exfiltration of prompts, uploaded documents, extracted entities, and knowledge graph content from all users.

CVSS 9.3 · Critique · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • cognee

    Versions du logiciel
    • ≥ 0, < 1.2.0: Concernée (semver)

    Mettez à jour vers 1.2.0

  • cognee PyPI

    Versions du logiciel
    • 0.1.0
    • 0.1.1
    • 0.1.10
    • 0.1.11
    • 0.1.12
    • 0.1.13
    • 0.1.14
    • 0.1.15
    • 0.1.16
    • 0.1.17
    • 0.1.18
    • 0.1.19
    • 0.1.2
    • 0.1.20
    • 0.1.21
    • 0.1.22
    • 0.1.23
    • 0.1.24
    • 0.1.25
    • 0.1.26
    • 0.1.27
    • 0.1.28
    • 0.1.29
    • 0.1.3
    • 0.1.32
    • 0.1.33
    • 0.1.34
    • 0.1.35
    • 0.1.36
    • 0.1.37
    • 0.1.38
    • 0.1.39
    • 0.1.4
    • 0.1.40
    • 0.1.41
    • 0.1.42
    • 0.1.43
    • 0.1.44
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.2.0
    • 0.2.0.dev0
    • 0.2.1
    • 0.2.1.dev0
    • 0.2.1.dev1
    • 0.2.1.dev2
    • 0.2.1.dev3
    • 0.2.1.dev4
    • 0.2.1.dev5
    • 0.2.1.dev6
    • 0.2.1.dev7
    • 0.2.2
    • 0.2.2.dev0
    • 0.2.2.dev1
    • 0.2.3
    • 0.2.3.dev0
    • 0.2.3.dev1
    • 0.2.4
    • 0.3.0
    • 0.3.0.dev0
    • 0.3.1
    • 0.3.2
    • 0.3.3
    • 0.3.4
    • 0.3.4.dev0
    • 0.3.4.dev1
    • 0.3.4.dev2
    • 0.3.4.dev3
    • 0.3.4.dev4
    • 0.3.5
    • 0.3.6
    • 0.3.7
    • 0.3.7.dev1
    • 0.3.7.dev2
    • 0.3.8
    • 0.3.9
    • 0.4.0
    • 0.4.1
    • 0.5.0
    • 0.5.0.dev0
    • 0.5.0.dev1
    • 0.5.1
    • 0.5.1.dev0
    • 0.5.2
    • 0.5.2.dev0
    • 0.5.3
    • 0.5.3.dev0
    • 0.5.3.dev1
    • 0.5.4
    • 0.5.4.dev0
    • 0.5.4.dev1
    • 0.5.4.dev2
    • 0.5.4.dev3
    • 0.5.4rc1
    • 0.5.5
    • 0.5.5.dev0
    • 0.5.5.dev1
    • 0.5.5.dev20260316
    • 0.5.5.dev20260323
    • 0.5.5.dev20260330
    • 0.5.6
    • 0.5.6.dev20260406
    • 0.5.7
    • 0.5.7.dev0
    • 0.5.8
    • 0.5.8rc1
    • 1.0.0
    • 1.0.0.dev0
    • 1.0.0.dev20260413
    • 1.0.1
    • 1.0.1.dev0
    • 1.0.1.dev1
    • 1.0.1.dev2
    • 1.0.1.dev20260420
    • 1.0.1.dev3
    • 1.0.1.dev4
    • 1.0.2
    • 1.0.3
    • 1.0.3.dev20260427
    • 1.0.4
    • 1.0.4.dev0
    • 1.0.5
    • 1.0.6
    • 1.0.7
    • 1.0.8
    • 1.0.9
    • 1.1.0
    • 1.1.0.dev0
    • 1.1.0.dev1
    • 1.1.1
    • 1.1.1.dev0
    • 1.1.2
    • 1.1.3
    • 1.2.0
    • 1.2.0.dev0
    • 1.2.0.dev1
    • 1.2.1
    • 1.2.1.dev20260622
    • 1.2.2
    • 1.2.2.dev0
    • 1.2.2.dev1
    • 1.2.2.dev2
    • 1.2.2.dev20260629
    • 1.2.2.dev20260706
    • 1.2.2.dev3
    • 1.2.2.dev4
    • 1.3.0
    • 1.3.0.dev20260713
    • 1.4.0
    • 1.4.0.dev0
    • 1.4.0.dev1
    • 1.4.0.dev2
    • 1.4.0.dev20260803
    • 1.4.0.dev3
    • 1.4.0.dev4
    • 1.4.1
    • 1.4.1.dev0
    • 1.4.1.dev1
    • 1.4.2
    • 1.5.0.dev1
    • 1.5.0.dev2
    • 1.5.0.dev3
    • 1.5.0.dev4
    • 1.5.0.dev5
    Plages de versions concernées
    • ECOSYSTEM: < 1.5.0

    Mettez à jour vers 1.5.0

Sources originales

Vérifiez votre serveur →