ドキュメント削除パラメータの不適切な検証

この脆弱性は、攻撃者が認証された状態でサーバーにアクセスできる場合に深刻な影響をもたらします。攻撃者は、この脆弱性を悪用して、重要なデータや設定ファイルを削除し、システムを完全に停止させる可能性があります。特に、機密情報を含むフォルダや、アプリケーションの動作に不可欠な設定ファイルが削除されると、ビジネスへの影響は甚大になる可能性があります。この脆弱性は、ファイルシステムへの完全なアクセス権を付与する可能性があるため、攻撃者は他のシステムへの横展開も試みる可能性があります。

Organizations deploying Anything LLM in production environments, particularly those with limited access controls or legacy configurations, are at risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability and impact other users.

• nodejs / server:

find /path/to/anything_llm -name '*deleteFolder*' -type f -print0 | xargs -0 grep -i 'path.join' -E '(\.\./)+'

• generic web:

curl -I 'http://your-anything-llm-server/deleteFolder?path=../../../../etc/passwd' # Check for 200 OK or other unexpected responses

1. 2024-02-27Disclosure

   disclosure

1. 予約済み2024-01-19
2. 公開日2024-02-27
3. 更新日2025-04-22
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Anything LLMをバージョン1.0.0にアップデートすることです。アップデートがすぐに利用できない場合、攻撃者がアクセスできないように、影響を受けるエンドポイントへのアクセスを制限するWAFルールやプロキシ設定を実装することを検討してください。また、入力サニタイズ機能を強化し、不正なパスが渡されるのを防ぐための追加の検証を実装することも有効です。攻撃の兆候を早期に検出するために、ログ監視を強化し、異常なファイル削除アクティビティを監視してください。