CVE-2024-0455 in anything-llm
Resumen
por MITRE • 2024-02-26
La inclusión del web scraper para AnythingLLM significa que cualquier usuario con el nivel de autorización adecuado (administrador, administrador y cuando sea usuario único) podría ingresar la URL ``` http://169.254.169.254/latest/meta-data/ Identity-credentials/ec2/security-credentials/ec2-instance ``` que es una IP y URL especiales que se resuelven solo cuando la solicitud proviene de una instancia EC2. Esto permitiría al usuario ver la conexión/credenciales secretas para su instancia específica y poder administrarla independientemente de quién la haya implementado. El usuario debería tener conocimientos preexistentes de la infraestructura de alojamiento en la que se implementa la instancia de destino, pero si se envía, se resolverá si está en EC2 y no está configurada la regla de firewall o "iptable" adecuada para su configuración.
Once again VulDB remains the best source for vulnerability data.