CVE-2026-45830

תיאור (מקור, אנגלית)

A lack of authorization validation in version 0.4.17 or later of the ChromaDB Python project allows any authenticated users to arbitrarily read, write, update, or delete data in any tenant's collection regardless of which tenant they belong to.

מדדים

CVSS 3.1

8.8 (HIGH) מקור הציון: NVD CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

CVSS 4.0

8.8 (HIGH) מקור הציון: CNA CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS — סבירות ניצול

0% (אחוזון 000) נכון ל-11/8/2026

CWE

CWE-639, CWE-266

מוצרים מושפעים

trychroma: chromadb

קישורים

• https://www.hiddenlayer.com/sai-security-advisory/2026-06-chromadb Third Party Advisory
• https://access.redhat.com/security/cve/CVE-2026-45830
• https://bugzilla.redhat.com/show_bug.cgi?id=2488408
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-45830.json