**ChromaDB AI 应用存在最高级别漏洞，可导致服务器被劫持**

_Max-severity flaw in ChromaDB for AI apps allows server hijacking_

> ChromaDB 项目 Python FastAPI 版本被曝出一个最高严重性漏洞（CVE-2026-45829），可使未经身份验证的攻击者在暴露的服务器上执行任意代码，从而劫持服务器。该漏洞源于一个 API 端点在身份验证检查前加载了模型设置，导致攻击者可强制服务器从 Hugging Face 平台加载并执行恶意模型。漏洞影响 ChromaDB 1.0.0 至 1.5.8 版本，目前尚不清楚最新发布的 1.5.9 版本是否已修复。研究人员建议受影响的用户避免公开暴露 Python 服务器，或改用 Rust 前端部署，并限制网络访问。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：行业
- **发布时间**：2026-05-20 21:42（北京时间）
- **原文**：[打开原文](https://www.bleepingcomputer.com/news/security/max-severity-flaw-in-chromadb-for-ai-apps-allows-server-hijacking)