CVE-2026-70619
Vulnérabilité élevée dans odysseus (odysseus-dev)
Description
Odysseus before commit bf325f6 contains a missing authorization vulnerability that allows authenticated non-admin users to manage server-wide embedding backend configuration by invoking endpoint management routes that verify session authentication but omit the admin authorization guard. Attackers can supply an attacker-controlled URL to overwrite the embedding backend persisted in the endpoint configuration file and process environment, causing all subsequent embedding operations including chat messages, RAG queries, memory entries, and vault text to be transmitted in plaintext to the attacker-controlled destination, or delete the endpoint configuration to deny embedding service to all users.
Gravité et risque d'exploitation
CVE-2026-70619 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.66 %, ce qui la place devant 50.5 % des CVE référencées.
Que faire ?
- Vérifiez si odysseus (versions <bf325f6b2185cb42bc5d8f5713a64aecffb766d4, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://aydinnyunus.github.io/2026/06/16/odysseus-embedding-endpoint-takeover/
- https://github.com/odysseus-dev/odysseus/issues/80
- https://github.com/odysseus-dev/odysseus/issues/132
- https://github.com/odysseus-dev/odysseus/commit/bf325f6b2185cb42bc5d8f5713a64aecffb766d4
- https://www.vulncheck.com/advisories/odysseus-missing-admin-authorization-via-embedding-endpoint-routes