PT-2024-23319 · Mintplex · Anything-Llm
CVE-2024-3033
·
Publicado
2024-06-06
·
Atualizado
2024-11-03
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
Nome do software vulnerável e versões afetadas
mintplex-labs/anything-llm versões anteriores à 1.0.0
Descrição
Existe uma falha de autorização inadequada na aplicação mintplex-labs/anything-llm, especificamente no endpoint “/api/v/” e suas subrotas. Essa falha permite que usuários não autenticados realizem ações destrutivas no VectorDB, incluindo a reinicialização do banco de dados e a exclusão de namespaces específicos, sem a necessidade de qualquer autorização ou permissão. A exploração dessa vulnerabilidade pode levar à perda total dos dados de incorporação de documentos em todas as áreas de trabalho, tornando as conversas nas áreas de trabalho e os widgets de chat incorporáveis inoperantes. Além disso, invasores podem listar todos os namespaces, expondo potencialmente nomes de áreas de trabalho privadas.
Recomendações
Para versões anteriores à 1.0.0, atualize para a versão 1.0.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/api/v/” e suas subrotas para impedir que usuários não autenticados realizem ações destrutivas no VectorDB. Evite usar o endpoint vulnerável até que o problema seja resolvido.
Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anything-Llm