CVE-2024-0439是一个权限绕过漏洞，影响到Anything LLM软件的早期版本（≤1.0.0）。尽管该漏洞在UI层面进行了隐藏，以防止管理员修改敏感设置，但攻击者可以通过标准的HTTP请求绕过这些限制，从而修改这些设置。该漏洞已于1.0.0版本中修复，建议用户尽快升级。
此漏洞允许未经授权的用户修改管理设置，可能导致系统配置错误、数据泄露或恶意行为。攻击者无需复杂的攻击技术，即可通过简单的HTTP请求绕过权限验证，直接修改系统配置。虽然该漏洞的直接影响可能有限，但如果攻击者能够成功修改关键设置，可能会对系统的稳定性和安全性造成严重威胁。该漏洞的潜在影响包括但不限于：更改模型参数、调整API访问权限、修改用户角色等。
目前尚未观察到大规模的CVE-2024-0439利用情况。该漏洞已列入NVD，CISA尚未将其添加到KEV目录。公开的PoC尚未发现，但由于漏洞利用简单，存在被利用的风险。建议密切关注安全社区的动态，及时获取最新的威胁情报。
Organizations utilizing Anything LLM in environments where role-based access control is critical are at risk. This includes deployments where sensitive data is processed or where the LLM's configuration directly impacts critical business operations. Users relying on the integrity of the LLM's settings are also at risk.
disclosure
漏洞利用状态
EPSS
0.22% (44% 百分位)
CVSS 向量
针对CVE-2024-0439，最有效的缓解措施是立即升级到1.0.0版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制对管理API的访问，使用防火墙或代理服务器过滤HTTP请求，并加强对用户身份验证和授权的控制。此外，定期审查系统配置，确保没有未经授权的修改。升级后，请验证权限控制是否正常工作，确认管理员无法绕过权限限制。
Actualice a una versión posterior a la 1.0.0 donde se haya corregido la vulnerabilidad. Esto evitará que los usuarios con permisos de 'manager' modifiquen la configuración del sistema directamente a través de peticiones HTTP.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-0439是一个权限绕过漏洞，影响到Anything LLM软件的早期版本（≤1.0.0），攻击者可以通过HTTP请求绕过权限控制，修改管理设置。
如果您正在使用Anything LLM的早期版本（≤1.0.0），则可能受到此漏洞的影响。请立即检查您的版本并升级。
最有效的修复方法是升级到1.0.0版本或更高版本。如果无法升级，请参考临时缓解措施，如限制API访问。
目前尚未观察到大规模的利用情况，但由于漏洞利用简单，存在被利用的风险。
请访问Anything LLM官方网站或GitHub仓库，查找相关的安全公告和更新信息。