CVE-2024-4284
Açıklama
mintplex-labs/anything-llm üzerindeki bir güvenlik açığı, bir kullanıcının `id` özniteliğinin 0 değerine getirilmesi yoluyla hizmet reddi (DoS) durumuna izin vermektedir. Bu sorun, yazılımın son commit id değeri `57984fa85c31988b2eff429adfc654c46e0c342a` olan güncel sürümünü etkilemektedir. Bir saldırgan, yönetici veya admin yetkilerini kullanarak bu zafiyeti istismar edebilir ve seçilen bir hesabın tamamen erişilemez hale gelmesini sağlayabilir. Uygulamanın hesapları askıya alma mekanizması, kullanıcı arayüzü üzerinden bu durumu geri alacak bir yöntem sunmamakta ve bu da kontrolsüz kaynak tüketimine yol açmaktadır. Güvenlik açığı, kullanıcı düzenleme uç noktasındaki girdi doğrulama ve temizleme eksikliğinin yanı sıra ara katman yazılımının (middleware) belirteç doğrulama mantığından kaynaklanmaktadır. Bu sorun, yazılımın 1.0.0 versiyonunda giderilmiştir.
Nasıl düzeltilir
- mintplexlabs anythingllm1.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v < 1.0.0 | 1.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.