PT-2025-12208 · Unknown · Netease-Youdao/Qanything
Publicado
2025-03-20
·
Atualizado
2025-03-20
·
CVE-2024-8026
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
netease-youdao/qanything (versões afetadas não especificadas)
Descrição
Existe uma vulnerabilidade de Cross-Site Request Forgery (CSRF) na API de backend devido a cabeçalhos CORS excessivamente permissivos, permitindo todas as requisições cross-origin. Isso afeta todos os endpoints de backend, possibilitando ações como criar, fazer upload, listar, excluir arquivos e gerenciar bases de conhecimento.
Recomendações
Como medida temporária, considere restringir o acesso aos endpoints da API de backend até que uma correção esteja disponível.
Restrinja as requisições cross-origin configurando os cabeçalhos CORS para permitir apenas os domínios necessários.
Evite usar a API de backend para operações sensíveis até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Netease-Youdao/Qanything