CVE-2024-6229

Nome do software vulnerável e versões afetadas:

stangirard/quivr versão mais recente

Descrição:

Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no recurso “Upload Knowledge”. Os usuários podem fazer upload de arquivos via URL, o que permite a inserção de cargas de JavaScript maliciosas. Essas cargas são armazenadas no servidor e executadas sempre que um usuário clica em um link que as contenha, levando a possíveis roubos de dados, sequestro de sessão e danos à reputação.

Recomendações:

Para a versão mais recente, considere desativar o recurso “Upload Knowledge” até que um patch esteja disponível para impedir a inserção de cargas de JavaScript maliciosas. Restrinja o acesso ao recurso para minimizar o risco de exploração. Evite usar o recurso “Upload Knowledge” via URL até que o problema seja resolvido.