Mdl

A API de Ativos Estáticos na Plataforma Mintlify está vulnerável a um problema de injeção de ativos entre tenants. Isso permite que atacantes remotos injetem scripts web arbitrários ou HTML através da manipulação do parâmetro `subdomain`. Especificamente, ativos pertencentes a um tenant podem ser disponibilizados no site de documentação de outro tenant.

Existe uma falha de Injeção de Template no Lado do Servidor (SSTI) no Mecanismo de Renderização MDX da Plataforma Mintlify. Esse problema permite que atacantes remotos executem código arbitrário por meio de expressões JSX inline dentro de um arquivo MDX. A vulnerabilidade está relacionada ao processamento de arquivos MDX e à renderização de expressões JSX. A SSTI ocorre quando entradas fornecidas pelo usuário são incorporadas a um template no lado do servidor sem a devida sanitização, permitindo que um atacante injete código malicioso que é então executado pelo servidor.

A directory traversal issue exists in the Static Asset Proxy Endpoint. This allows remote attackers to inject arbitrary web script or HTML through a specially crafted URL containing path traversal sequences. The endpoint vulnerable to this issue is the `/static` asset proxy endpoint. The vulnerability involves manipulating the URL to access files outside the intended directory.

A Infraestrutura de Implantação na Plataforma Mintlify anterior a 2025-11-15 permite que atacantes contornem patches de segurança e executem ataques de downgrade. Isso é possível por meio de identificadores de implantação previsíveis no domínio de preview da Vercel. Um atacante pode identificar a estrutura de URL de uma implantação anterior contendo vulnerabilidades não corrigidas e forçar a aplicação a carregar a versão vulnerável acessando diretamente o subdomínio específico de git-ref ou deployment-id.