Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-4287)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
20/05/2024
Última modificación:
20/05/2024
Descripción
En mintplex-labs/anything-llm, existe una vulnerabilidad debido a una validación de entrada incorrecta en el proceso de actualización del espacio de trabajo. Específicamente, la aplicación no puede validar ni formatear los datos JSON enviados en una solicitud HTTP POST a `/api/workspace/:workspace-slug/update`, lo que permite que se ejecute como parte de una consulta de base de datos sin restricciones. Esta falla permite a los usuarios con rol de administrador crear una solicitud que incluya operaciones de escritura anidadas, lo que les permite crear nuevas cuentas de administrador.
Impacto
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA