CVE-2024-3570 in anything-llm
Resumen
por MITRE • 2024-04-10
Existe una vulnerabilidad de Cross Site Scripting (XSS) almacenado en la funcionalidad de chat del repositorio mintplex-labs/anything-llm, que permite a los atacantes ejecutar JavaScript arbitrario en el contexto de la sesión de un usuario. Al manipular las respuestas de ChatBot, un atacante puede inyectar secuencias de comandos maliciosas para realizar acciones en nombre del usuario, como crear una nueva cuenta de administrador o cambiar la contraseña del usuario, lo que lleva a una toma de control completa de la aplicación AnythingLLM. La vulnerabilidad se origina en la desinfección incorrecta de la entrada del usuario y del ChatBot, específicamente mediante el uso de `dangerouslySetInnerHTML`. Para explotarla con éxito, es necesario convencer a un administrador de que agregue un LocalAI ChatBot malicioso a su instancia de AnythingLLM.
If you want to get best quality of vulnerability data, you may have to visit VulDB.