PT-2025-6084 · Mintplex · Anything-Llm
CVE-2024-13059
·
Publicado
2025-02-10
·
Atualizado
2025-09-10
CVSS v3.1
7.2
Alta
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
mintplex-labs/anything-llm versões anteriores à 1.3.1
Descrição
Uma vulnerabilidade no mintplex-labs/anything-llm permite traversão de caminho devido ao tratamento inadequado de nomes de arquivos não ASCII na biblioteca multer. Isso pode levar à gravação arbitrária de arquivos, o que pode subsequentemente resultar em execução remota de código. O problema ocorre quando a transformação do nome do arquivo introduz sequências '../', que não são sanitizadas pela multer, permitindo que atacantes com funções de gerente ou administrador gravem arquivos em locais arbitrários no servidor.
Recomendações
Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 para garantir a segurança dos sistemas. Como medida de contorno temporária, considere restringir o acesso à biblioteca multer ou desativar a função de transformação de nome de arquivo para minimizar o risco de exploração. Evite usar nomes de arquivos não ASCII até que o problema seja resolvido.
Exploit
Correção
RCE
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Anything-Llm