CVE-2024-3104
Açıklama
mintplex-labs/anything-llm üzerinde ortam değişkenlerinin uygun şekilde işlenmemesi nedeniyle bir uzaktan kod çalıştırma zafiyeti bulunmaktadır. Saldırganlar, `POST /api/system/update-env` uç noktası aracılığıyla rastgele ortam değişkenleri enjekte ederek bu zafiyeti istismar edebilir ve anything-llm'in çalıştığı ana makinede rastgele kod çalıştırabilirler. Zafiyet, fde905aac1812b84066ff72e5f2f90b56d4c3a59 numaralı son commit ile tanımlanan anything-llm'in en güncel sürümünde mevcuttur. Bu sorun 1.0.0 versiyonunda düzeltilmiştir. Başarılı bir istismar, ana makinede kod çalıştırılmasına yol açarak saldırganların servisi çalıştıran kullanıcının erişebildiği verileri okumasına ve değiştirmesine olanak tanıyabilir ve potansiyel olarak hizmet reddine neden olabilir.
Nasıl düzeltilir
- mintplexlabs anythingllm1.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v < 1.0.0 | 1.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.