CVE-2024-3104 in anything-llm
要約
〜によって VulDB • 2026年06月03日
mintplex-labs/anything-llmには、環境変数の不適切な処理に起因するリモートコード実行（RCE）の脆弱性が存在します。攻撃者は `POST /api/system/update-env` エンドポイント経由で任意の環境変数を注入することでこの脆弱性を悪用し、anything-llmが稼働しているホスト上で任意のコードを実行することができます。この脆弱性は anything-llm の最新バージョンに存在しており、最新のコミットは fde905aac1812b84066ff72e5f2f90b56d4c3a59 です。本問題はバージョン 1.0.0 で修正されています。悪用に成功するとホスト上でコードが実行され、攻撃者はサービスを実行しているユーザーがアクセス可能なデータを読み取ったり変更したりすることが可能となり、結果としてサービスの停止（DoS）につながる可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.