CVE-2024-4284

mintplex-labs/anything-llm versões anteriores à 1.0.0

Uma condição de negação de serviço (DoS) pode ser desencadeada através da modificação do atributo id de um usuário para o valor 0. Isso pode tornar uma conta específica completamente inacessível, levando ao consumo descontrolado de recursos. O problema se deve à falta de validação e sanitização de entradas no endpoint de modificação do usuário e na lógica de validação de tokens do middleware. Um invasor com privilégios de gerente ou administrador pode explorar essa vulnerabilidade.

Para versões anteriores à 1.0.0, atualize para a versão 1.0.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint de modificação de usuário para minimizar o risco de exploração. Além disso, evite usar o atributo id com o valor 0 no endpoint afetado até que o problema seja resolvido.