CVE-2024-3283

mintplex-labs/anything-llm (versões afetadas não especificadas)

Uma falha na atribuição em massa permite que usuários com funções de gerente elevem seus privilégios para funções de administrador. O endpoint da API ‘/admin/system-preferences’ autoriza indevidamente usuários de nível de gerente a modificar a variável de sistema multi user mode, permitindo que eles acessem o endpoint ‘/api/system/enable-multi-user’ e criem um novo usuário administrador. Esse problema decorre do fato de o endpoint aceitar um objeto JSON completo no corpo da solicitação sem a validação adequada dos campos modificáveis, levando à modificação não autorizada das configurações do sistema e à subsequente elevação de privilégios.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.