CVE-2024-3166
Təsvir
mintplex-labs/anything-llm proqramında həm masaüstü tətbiqin 1.2.0 versiyasını, həm də veb tətbiqin son versiyasını təsir edən saytlararası skriptinq (XSS) zəifliyi mövcuddur. Zəiflik, tətbiqin veb saytlardan məzmunu götürüb iş sahələrinə daxil etmək funksiyasından qaynaqlanır və ixtiyari JavaScript kodunun icra edilməsi üçün istifadə edilə bilər. Masaüstü tətbiqdə bu çatışmazlıq, təhlükəsiz olmayan tətbiq parametrləri, xüsusilə Electron-un webPreferences bölməsində 'nodeIntegration'-ın aktivləşdirilməsi və 'contextIsolation'-ın deaktiv edilməsi səbəbindən uzaqdan kodun icrasına (RCE) çevrilə bilər. Problem masaüstü tətbiqin 1.4.2 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- mintplexlabs anythingllm_desktop1.4.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm_desktop | v < 1.4.2 | 1.4.2 |
| mintplexlabs anythingllm_docker | v ≤ 1.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.