CVE-2024-0404

Repositório mintplex-labs/anything-llm (versões afetadas não especificadas)

Existe uma vulnerabilidade de atribuição em massa no endpoint “/api/invite/:code”, permitindo a criação não autorizada de contas com privilégios elevados. Ao interceptar e modificar a solicitação HTTP durante o processo de criação de conta por meio de um link de convite, um invasor pode adicionar uma propriedade role com o valor admin, obtendo assim acesso administrativo. Esse problema surge devido à falta de listas de permissões e restrições de propriedades, permitindo que o invasor explore o sistema e execute ações como administrador.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução temporária, considere desativar o endpoint /api/invite/:code até que um patch esteja disponível. Restrinja o acesso ao processo de criação de contas por meio de links de convite para minimizar o risco de exploração. Evite usar a propriedade role no endpoint da API afetado até que o problema seja resolvido.