CVE-2024-3110

mintplex-labs/anything-llm tətbiqində 1.0.0 versiyasına qədər, o cümlədən 1.0.0-dan əvvəlki son versiya daxil olmaqla, saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Zəiflik tətbiqin istifadəçi tərəfindən təqdim edilmiş URL-ləri fərdi ikonlarla xarici keçidlər kimi tətbiqin interfeysinə yerləşdirməzdən əvvəl düzgün təmizləməməsi və yoxlamaması nəticəsində yaranır. Konkret olaraq, tətbiq URL-lərdə 'javascript:' protokol yüklərinin daxil edilməsinin qarşısını almır ki, bu da menecer roluna malik istifadəçi tərəfindən başqa istifadəçinin sessiyası kontekstində ixtiyari JavaScript kodunun icrası üçün istifadə oluna bilər. Bu qüsur adminin avtorizasiya tokenini oğurlamaq üçün istifadə oluna bilər: zərərli URL-lər hazırlanır və admin onlara kliklədikdə token hücumçunun nəzarət etdiyi serverə göndərilir. Daha sonra hücumçu bu tokendən icazəsiz əməliyyatlar aparmaq, imtiyazları admin səviyyəsinə yüksəltmək və ya birbaşa admin hesabını ələ keçirmək üçün istifadə edə bilər. Zəiflik zərərli keçid CTRL + siçanın sol düyməsi ilə klikləmə və ya siçan çarxı ilə klikləmə vasitəsilə yeni tabda açıldıqda, yaxud müasir brauzerlərin bəzi yenilənməmiş versiyalarında keçidə birbaşa klikləməklə işə düşür.