Kotaemon-CVE-2025-56526-56527-disclosure

Kotaemon CVE-2025-56526 与 CVE-2025-56527 公开披露 Kotaemon 信息面板中的存储型跨站脚本与 localStorage 中的明文凭据存储相结合，使得单个恶意 PDF 上传即可导致完全会话劫持。 执行摘要 受影响产品/版本 ：Kotaemon = 0.11.0（包括提交 37cdc28） 漏洞 ： CVE-2025-56526 – 通过未净化的 PDF 内容渲染导致的存储型 XSS CVE-2025-56527 – localStorage 中存储明文用户名/密码 所需权限 ：具有文档上传权限的认证用户 影响 ：凭证窃取、持久化会话劫持、LLM...