CVE-2024-0798

mintplex-labs/anything-llm (versões afetadas não especificadas)

Existe uma falha de escalonamento de privilégios que permite que usuários com a função default excluam documentos enviados pelo admin. Isso se deve a verificações inadequadas de controle de acesso, possibilitando a exclusão não autorizada de documentos e podendo levar à perda da integridade dos dados. Um invasor pode explorar essa vulnerabilidade enviando uma solicitação DELETE maliciosa para o endpoint “/api/system/remove-document”.

Para o mintplex-labs/anything-llm, considere desativar a funcionalidade remove-document para usuários com a função default até que uma correção esteja disponível.

Restrinja o acesso ao endpoint “/api/system/remove-document” para minimizar o risco de exploração.

Evite usar os endpoints remove-folder e remove-document para dados confidenciais até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.