BDU:2025-02394

Опубликовано: 04 дек. 2024

Источник: fstec

CVSS3: 4.3

CVSS2: 4

EPSS Низкий

Описание

Уязвимость системы запуска и управления большими языковыми моделями (LLM) AnythingLLM связана с недостатками процедуры авторизации при обработке параметра id. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Вендор

Mintplex Labs Inc.

Наименование ПО

AnythingLLM

Версия ПО

до 1.4.0 (AnythingLLM)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/mintplex-labs/anything-llm/commit/696af19c45473172ad4d3ca749281800a4d1a45a

https://github.com/Mintplex-Labs/anything-llm/releases/tag/v1.4.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-13060
CVE

EPSS

Процентиль: 20%

0.00066

Низкий

4.3 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

CVE-2024-13060

CVSS3: 4.3

nvd

11 месяцев назад

A vulnerability in AnythingLLM Docker version 1.3.1 allows users with 'Default' permission to access other users' profile pictures by changing the 'id' parameter in the user cookie. This issue is present in versions prior to 1.3.1.

GHSA-mjvp-pg3h-wh59

CVSS3: 4.3

github

11 месяцев назад

EPSS

Процентиль: 20%

0.00066

Низкий

4.3 Medium

CVSS3

4 Medium

CVSS2