CVE-2024-3570
Açıklama
mintplex-labs/anything-llm deposunun sohbet işlevinde, saldırganların bir kullanıcının oturumu bağlamında rastgele JavaScript yürütmesine olanak tanıyan saklı bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti bulunmaktadır. Bir saldırgan, ChatBot yanıtlarını manipüle ederek kullanıcı adına yeni bir yönetici hesabı oluşturmak veya kullanıcının şifresini değiştirmek gibi işlemler gerçekleştirmek için kötü amaçlı betikler enjekte edebilir ve bu durum AnythingLLM uygulamasının tamamen ele geçirilmesine yol açabilir. Zafiyet, özellikle `dangerouslySetInnerHTML` kullanımı yoluyla kullanıcı ve ChatBot girdilerinin uygun şekilde temizlenmemesinden kaynaklanmaktadır. Başarılı bir istismar, bir yöneticinin AnythingLLM örneğine kötü amaçlı bir LocalAI ChatBot ekmesi için ikna edilmesini gerektirir.
Nasıl düzeltilir
- mintplexlabs anythingllm1.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v < 1.0.0 | 1.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.