PT-2024-26648 · Unknown · Anything-Llm
CVE-2024-3570
·
Publicado
2024-04-10
·
Atualizado
2025-07-09
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
anything-llm (versões afetadas não especificadas)
Descrição
Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada na funcionalidade de chat, permitindo que invasores executem JavaScript arbitrário no contexto da sessão de um usuário. Ao manipular as respostas do ChatBot, um invasor pode injetar scripts maliciosos para realizar ações em nome do usuário, como criar uma nova conta de administrador ou alterar a senha do usuário, levando à tomada de controle total do aplicativo AnythingLLM. A vulnerabilidade decorre da sanitização inadequada das entradas do usuário e do ChatBot, especificamente por meio do uso de
dangerouslySetInnerHTML. A exploração bem-sucedida requer convencer um administrador a adicionar um ChatBot LocalAI malicioso à sua instância do AnythingLLM.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anything-Llm