PT-2025-12272 · Unknown · Stangirard/Quivr

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-9229

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas stangirard/quivr versão 0.0.298

Descrição Uma vulnerabilidade de Negação de Serviço (DoS) na funcionalidade de upload de arquivos permite que atacantes não autenticados consumam recursos excessivamente ao anexar caracteres ao final de um delimitador multipart em uma requisição HTTP. Isso faz com que o servidor processe continuamente cada caractere, tornando o serviço indisponível e impactando todos os usuários.

Recomendações Para o stangirard/quivr versão 0.0.298, considere desativar a funcionalidade de upload de arquivos até que um patch esteja disponível para prevenir o consumo excessivo de recursos. Restrinja o acesso ao delimitador multipart em requisições HTTP para minimizar o risco de exploração.

Correção

DoS

Resource Exhaustion

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-400

CWE-770

Identificadores relacionados

CVE-2024-9229

GHSA-M76R-XQQJ-MQMV

Produtos afetados

Stangirard/Quivr

Referências · 6

• https://github.com/QuivrHQ/quivr/blob/6b07a63e4e969d003710d6f6c6b9df36fd6ea803/backend/api/quivr_api/modules/upload/service/upload_file.py#L68-L101 · Nota
• https://github.com/QuivrHQ/quivr · Nota
• https://twitter.com/CVEnew/status/1902671083473695148 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-m76r-xqqj-mqmv · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-9229 · Nota de Segurança
• https://huntr.com/bounties/946a412d-422f-4623-bb1d-d2646ad23dfd · Nota