CVE-2024-3025
Təsvir
mintplex-labs/anything-llm logo fayl adı funksionallığında istifadəçi tərəfindən təqdim edilən girişin kifayət qədər yoxlanılmaması səbəbindən yol keçmə (path traversal) hücumlarına həssasdır. Hücumçular logo fayl adını manipulyasiya edərək məhdudlaşdırılmış qovluqdan kənar fayllara istinad edə bilərlər. Bu, `/api/system/upload-logo` və `/api/system/logo` endpoint-lərindən istifadə etməklə faylların icazəsiz oxunmasına və ya silinməsinə səbəb ola bilər. Problem logo fayl adının filtrlənməməsi və ya yoxlanılmamasından qaynaqlanır və hücumçulara tətbiqin verilənlər bazası kimi həssas faylları hədəf almağa imkan verir.
Necə düzəltmək olar
- mintplexlabs anythingllm1.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | v < 1.0.0 | 1.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.