CVE-2024-3166

mintplex-labs/anything-llm, versões 1.2.0 a 1.4.1

Aplicativo web mintplex-labs/anything-llm (versões afetadas não especificadas)

Existe uma vulnerabilidade de Cross-Site Scripting (XSS) no aplicativo, afetando tanto o aplicativo para desktop quanto o aplicativo web. A vulnerabilidade decorre do recurso do aplicativo de buscar e incorporar conteúdo de sites em áreas de trabalho, o que pode ser explorado para executar código JavaScript arbitrário. No aplicativo de desktop, essa falha pode ser agravada para Execução Remota de Código (RCE) devido a configurações inseguras do aplicativo, especificamente a ativação de nodeIntegration e a desativação de contextIsolation nas webPreferences do Electron.

Para a versão 1.2.0 do aplicativo de desktop mintplex-labs/anything-llm, atualize para a versão 1.4.2 para corrigir o problema.

Para o aplicativo web mintplex-labs/anything-llm, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Como solução temporária, considere desativar o recurso de buscar e incorporar conteúdo de sites em áreas de trabalho até que um patch esteja disponível. Restrinja o acesso às webPreferences do Electron para minimizar o risco de exploração. Evite usar as configurações nodeIntegration e contextIsolation nas webPreferences do Electron até que o problema seja resolvido.