CVE: CVE-2024-3110

Descrizione: Una vulnerabilità di Cross-Site Scripting (XSS) esiste nella applicazione mintplex-labs/anything-llm, che colpisce versioni fino e inclusi l’ultima più recente prima del 1.0.0. La vulnerabilità si verifica a causa del fallimento dell’applicazione nel sanificare e validare correttamente i dati forniti dagli utenti prima di incorporarli in elementi dell’interfaccia utente come link esterni con icone personalizzate. In particolare, l’applicazione non impedisce l’inclusione di payload di protocollo JavaScript ‘javascript:’, che un utente con il ruolo di amministratore può sfruttare per eseguire codice JavaScript arbitrario in un altro sessione utente. Questo difetto può essere sfruttato per rubare il token di autorizzazione dell’amministratore attraverso la creazione di URL dannosi che, quando cliccati dall’amministratore, inviano il token a un server controllato dall’attaccante. L’attaccante può quindi utilizzare questo token per eseguire azioni non autorizzate, aumentare i privilegi di amministratore o prendere il controllo completo dell’account amministratore. La vulnerabilità si attiva quando l’URL dannoso viene aperto in una nuova scheda utilizzando un clic del tasto sinistro del mouse o il scroll del mouse, o in alcune versioni moderne dei browser, direttamente cliccando sull’URL.

Vettore di attacco

Riferimenti esterni

• https://huntr.com/bounties/c2895978-364d-412d-8825-c806606bcb85
• https://github.com/mintplex-labs/anything-llm/commit/49f30e051c9f6e28977d57d0e5f49c1294094e41

Prodotti interessati

• mintplex-labs – mintplex-labs/anything-llm

Relazioni con altri prodotti

Produttore:mintplex-labs
Prodotto: mintplex-labs/anything-llm
Anno: 2024
CWE: CWE-79
CVSS: 0.0

Ulteriori risorse disponibili

• Vulnerabilità scoperte nello stesso anno (2024)