CVE-2024-3283
Təsvir
mintplex-labs/anything-llm proqramındakı zəiflik, kütləvi təyin (mass assignment) problemi vasitəsilə menecer roluna malik istifadəçilərə öz imtiyazlarını admin roluna yüksəltməyə imkan verir. '/admin/system-preferences' API son nöqtəsi (endpoint), menecer səviyyəli istifadəçilərə 'multi_user_mode' sistem dəyişənini dəyişdirmək üçün yanlış şəkildə səlahiyyət verir ki, bu da onlara '/api/system/enable-multi-user' son nöqtəsinə daxil olmağa və yeni admin istifadəçisi yaratmağa şərait yaradır. Bu problem, son nöqtənin sorğu gövdəsindəki tam JSON obyektini dəyişdirilə bilən sahələrin düzgün yoxlanılması olmadan qəbul etməsi nəticəsində yaranır və sistem parametrlərinin icazəsiz dəyişdirilməsinə, nəticədə isə imtiyazların yüksəldilməsinə gətirib çıxarır.
Necə düzəltmək olar
- mintplexlabs anythingllm1.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | v < 1.0.0 | 1.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.