CVE-2025-63390
Təsvir
AnythingLLM v1.8.5 versiyasında /api/workspaces son nöqtəsi vasitəsilə autentifikasiyadan yan keçmə zəifliyi mövcuddur. Son nöqtədə lazımi autentifikasiya yoxlamaları tətbiq edilməmişdir ki, bu da autentifikasiya olunmamış uzaq hücumçulara bütün konfiqurasiya edilmiş iş sahələrini (workspaces) sadalamağa və onlar haqqında ətraflı məlumatları əldə etməyə imkan verir. Açılan məlumatlara aşağıdakılar daxildir: iş sahəsi identifikatorları (id, name, slug), Süni İntellekt modeli konfiqurasiyaları (chatProvider, chatModel, agentProvider), sistem promptları (openAiPrompt), əməliyyat parametrləri (temperature, history length, similarity thresholds), vektor axtarışı parametrləri, çat rejimləri və zaman möhürləri.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mintplexlabs anythingllm | 1.8.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.