PT-2024-30188 · Unknown · Anything-Llm

CVE-2024-4287 · Publicado 2024-05-20 · Atualizado 2025-07-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

anything-llm (versões afetadas não especificadas)

Descrição

Existe uma vulnerabilidade no processo de atualização do espaço de trabalho devido à validação inadequada de entradas. O aplicativo não consegue validar ou formatar os dados JSON enviados em uma solicitação HTTP POST para “/api/workspace/:workspace-slug/update”, permitindo que sejam executados como parte de uma consulta ao banco de dados sem restrições. Isso permite que usuários com a função de gerente criem uma solicitação que inclua operações de gravação aninhadas, permitindo-lhes efetivamente criar novas contas de administrador.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-4287

Produtos afetados

Anything-Llm

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/4xxx/CVE-2024-4287.json · Exploit
• 🔥 https://huntr.com/bounties/34491fb7-5133-4e80-8782-74124350bbdb · Exploit
• https://github.com/mintplex-labs/anything-llm/commit/94b58249a37a21b1c08deaa2d1edfdecbb6deb18 · Correção
• https://osv.dev/vulnerability/CVE-2024-4287 · Aviso do Fabricante
• https://t.me/cvenotify/128383 · Publicação no Telegram
• https://t.me/cvenotify/80439 · Publicação no Telegram
• https://t.me/cvenotify/80447 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-4287 · Nota de Segurança