PT-2024-22751 · Unknown · Anything-Llm

Publicado 2024-05-06 · Atualizado 2025-07-09 · CVE-2024-2913

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

anything-llm (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade de condição de corrida no processo de aceitação de convites de usuários, permitindo que invasores criem várias contas de usuário a partir de um único link de convite, enviando múltiplas solicitações simultâneas. Isso contorna o mecanismo de segurança que restringe a aceitação de convites a um único usuário, levando à criação não autorizada de usuários sem que seja detectada. O problema se deve à falta de validação de solicitações simultâneas no backend.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2024-2913

Produtos afetados

Anything-Llm

Referências · 6

• 🔥 https://huntr.com/bounties/a3c69faf-cca0-4c10-8739-57e5bef7a95f · Exploit
• https://osv.dev/vulnerability/CVE-2024-2913 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1787888431311290552 · Publicação no Twitter
• https://t.me/cvenotify/128275 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-2913 · Nota de Segurança
• https://t.me/cvenotify/79326 · Publicação no Telegram