CVE-2024-10513

Nome do Software Vulnerável e Versões Afetadas mintplex-labs/anything-llm versões anteriores à 1.2.2

Descrição Existe uma vulnerabilidade de path traversal na funcionalidade 'document uploads manager', permitindo que usuários com a função 'manager' acessem e manipulem o arquivo de banco de dados 'anythingllm.db'. Ao explorar o endpoint vulnerável "/api/document/move-files", um atacante pode mover o arquivo de banco de dados para um diretório publicamente acessível, baixá-lo e, subsequentemente, excluí-lo. Isso pode levar ao acesso não autorizado a dados sensíveis, elevação de privilégio e potencial perda de dados.

Recomendações Para versões anteriores à 1.2.2, atualize para a versão 1.2.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint "/api/document/move-files" até que um patch esteja disponível. Restrinja a função 'manager' para minimizar o risco de exploração.