CVE-2024-3029

mintplex-labs/anything-llm (versões afetadas não especificadas)

O problema decorre de uma validação inadequada de entradas. Um invasor pode explorar essa vulnerabilidade enviando uma carga JSON malformada para o endpoint “/system/enable-multi-user”, provocando um erro. Esse erro é capturado por um bloco catch, que então exclui todos os usuários e desativa o ‘multi user mode’. Como resultado, um invasor pode remover todos os usuários existentes e, potencialmente, criar um novo usuário administrador sem a necessidade de senha, levando ao acesso não autorizado e ao controle sobre o aplicativo.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.