CVE-2024-3104 in anything-llm
Sumário
de VulDB • 01/06/2026
Uma vulnerabilidade de execução remota de código (RCE) existe no mintplex-labs/anything-llm devido ao tratamento inadequado de variáveis de ambiente. Os atacantes podem explorar essa vulnerabilidade injetando variáveis de ambiente arbitrárias por meio do endpoint `POST /api/system/update-env`, o que permite a execução de código arbitrário no host que executa o anything-llm. A vulnerabilidade está presente na versão mais recente do anything-llm, com o último commit identificado como fde905aac1812b84066ff72e5f2f90b56d4c3a59. Este problema foi corrigido na versão 1.0.0. A exploração bem-sucedida pode levar à execução de código no host, permitindo que os atacantes leiam e modifiquem dados acessíveis ao usuário que executa o serviço, potencialmente levando a uma negação de serviço (DoS).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.