Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-3283)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/04/2024

Última modificación:

09/07/2025

Descripción

Una vulnerabilidad en mintplex-labs/anything-llm permite a los usuarios con funciones de administrador escalar sus privilegios a funciones de administrador a través de un problema de asignación masiva. El endpoint de la API &#39;/admin/system-preferences&#39; autoriza incorrectamente a los usuarios de nivel de administrador a modificar la variable del sistema &#39;multi_user_mode&#39;, lo que les permite acceder al endpoint &#39;/api/system/enable-multi-user&#39; y crear un nuevo usuario administrador. Este problema se produce cuando el endpoint acepta un objeto JSON completo en el cuerpo de la solicitud sin la validación adecuada de los campos modificables, lo que lleva a la modificación no autorizada de la configuración del sistema y la posterior escalada de privilegios.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto