CVE-2026-45829Pre-authentication code injection in ChromaDB
A pre-authentication, code injection vulnerability in version 1.0.0 or later of the ChromaDB Python project allows an unauthenticated attacker to run arbitrary code on the server by sending a malicious model repository and trust_remote_code set to true in the /api/v2/tenants/{tenant}/databases/{db}/collections endpoint.
View on NVDAnalysis
ChromaDB presenta una vulnerabilidad crítica de inyección de código que permite a un atacante no autenticado ejecutar comandos arbitrarios en el servidor. Al explotar el parámetro trust_remote_code mediante una solicitud maliciosa a la API, un tercero puede comprometer totalmente la instancia de la base de datos vectorial. Esta falla afecta directamente a aplicaciones de IA y LLM que utilizan este motor para el almacenamiento de embeddings.
Severity
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HCWE-94EPSS
Technical description
A pre-authentication, code injection vulnerability in version 1.0.0 or later of the ChromaDB Python project allows an unauthenticated attacker to run arbitrary code on the server by sending a malicious model repository and trust_remote_code set to true in the /api/v2/tenants/{tenant}/databases/{db}/collections endpoint.