CVE-2024-3110

mintplex-labs/anything-llm uygulamasının 1.0.0 öncesindeki tüm sürümlerini etkileyen saklı bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti bulunmaktadır. Zafiyet, uygulamanın kullanıcı tarafından sağlanan URL'leri özel simgeli harici bağlantılar olarak uygulama arayüzüne yerleştirmeden önce uygun şekilde temizlememesi ve doğrulamamasından kaynaklanmaktadır. Özellikle uygulama, URL'lerde 'javascript:' protokolü yüklerinin kullanılmasına izin vermemektedir; bu durum, yönetici rolündeki bir kullanıcının başka bir kullanıcının oturumu bağlamında rastgele JavaScript kodu çalıştırmak için bu durumu istismar etmesine olanak tanır. Bu açık, yöneticinin tıkladığında yetkilendirme belirtecini saldırgan kontrollü bir sunucuya gönderen kötü amaçlı URL'ler oluşturularak yöneticinin yetkilendirme belirtecinin çalınması için kullanılabilir. Saldırgan daha sonra bu belirteci kullanarak yetkisiz işlemler gerçekleştirebilir, ayrıcalıklarını yönetici seviyesine yükseltebilir veya doğrudan yönetici hesabını ele geçirebilir. Zafiyet, kötü amaçlı bağlantı CTRL + sol fare tıklaması veya fare tekerleği tıklamasıyla yeni bir sekmede açıldığında ya da modern tarayıcıların güncellenmemiş bazı sürümlerinde bağlantıya doğrudan tıklandığında tetiklenmektedir.