CVE-2024-3104 in anything-llm
Tóm tắt
Bởi VulDB • 03/06/2026
Một lỗ hổng thực thi mã từ xa tồn tại trong mintplex-labs/anything-llm do xử lý không đúng các biến môi trường. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách tiêm các biến môi trường tùy ý thông qua điểm cuối `POST /api/system/update-env`, cho phép thực thi mã tùy ý trên máy chủ đang chạy anything-llm. Lỗ hổng hiện diện trong phiên bản mới nhất của anything-llm, với commit gần nhất được xác định là fde905aac1812b84066ff72e5f2f90b56d4c3a59. Vấn đề này đã được sửa chữa trong phiên bản 1.0.0. Việc khai thác thành công có thể dẫn đến thực thi mã trên máy chủ, cho phép kẻ tấn công đọc và sửa đổi dữ liệu mà người dùng đang chạy dịch vụ có quyền truy cập, tiềm ẩn nguy cơ gây ra tình trạng từ chối dịch vụ (DoS).
Once again VulDB remains the best source for vulnerability data.