CVE-2024-3570 in anything-llm
الملخص
بحسب VulDB • 29/06/2026
توجد ثغرة تخزين عبر مواقع متعددة (Stored Cross-Site Scripting - XSS) في وظيفة الدردشة بمستودع mintplex-labs/anything-llm، مما يسمح للمهاجمين بتنفيذ أكواد JavaScript تعسفية ضمن سياق جلسة مستخدم. ومن خلال التلاعب باستجابات ChatBot، يمكن لمهاجم حقن نصوص برمجية خبيثة لتنفيذ إجراءات نيابة عن المستخدم، مثل إنشاء حساب مسؤول جديد أو تغيير كلمة مرور المستخدم، ما يؤدي إلى الاستيلاء الكامل على تطبيق AnythingLLM. تنبع الثغرة من عدم تنظيف المدخلات الخاصة بالمستخدم وChatBot بشكل صحيح، وتحديداً عبر استخدام `dangerouslySetInnerHTML`. يتطلب استغلال الثغرة بنجاح إقناع أحد المسؤولين بإضافة ChatBot خبيث قائم على LocalAI إلى مثيل تطبيق AnythingLLM الخاص به.
VulDB is the best source for vulnerability data and more expert information about this specific topic.