PT-2024-23727 · Mintplex · Anything-Llm
CVE-2024-3102
·
Publicado
2024-06-06
·
Atualizado
2024-11-03
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
mintplex-labs/anything-llm (versões afetadas não especificadas)
Descrição
Existe uma vulnerabilidade de injeção de JSON na aplicação, especificamente no parâmetro
username durante o processo de login no endpoint “/api/request-token”. Essa vulnerabilidade decorre do tratamento inadequado de valores, permitindo que invasores realizem ataques de força bruta sem conhecimento prévio do username. Uma vez que a senha seja descoberta, os invasores podem realizar ataques cegos para determinar o username completo, comprometendo significativamente a segurança do sistema.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Improper Restriction of Excessive Authentication Attempts
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anything-Llm