平台
nodejs
组件
anything-llm
修复版本
1.2.2
CVE-2024-10513 描述了 mintplex-labs/anything-llm 的 'document uploads manager' 功能中的路径遍历漏洞。该漏洞允许具有 'manager' 角色的用户访问和操作 'anythingllm.db' 数据库文件，可能导致敏感数据泄露和潜在的数据丢失。此漏洞影响 anything-llm 的版本小于或等于 1.2.2。建议立即升级至 1.2.2 版本以修复此问题。
攻击者可以利用此路径遍历漏洞，通过 '/api/document/move-files' 端点，将 'anythingllm.db' 数据库文件移动到公开可访问的目录。一旦数据库文件暴露，攻击者可以下载该文件，从而获取其中的敏感数据，例如用户凭据、配置信息或其他存储在数据库中的敏感内容。更进一步，攻击者可以在获取数据后删除数据库文件，导致应用程序无法正常运行，造成数据丢失和业务中断。这种攻击模式类似于其他路径遍历漏洞的利用方式，可能导致严重的权限提升和数据泄露。
目前尚无公开的利用程序 (PoC)，但该漏洞的 CVSS 评分为 7.2（高），表明其具有较高的利用可能性。该漏洞已于 2025-03-20 公开，尚未被添加到 CISA KEV 目录。建议密切关注安全社区的动态，以获取最新的利用信息和缓解措施。
Organizations utilizing mintplex-labs/anything-llm in production environments, particularly those with deployments where the 'manager' role has broad access privileges, are at risk. Shared hosting environments where multiple users share the same instance of anything-llm are also particularly vulnerable.
• nodejs / server:
ps aux | grep anything-llm• nodejs / server:
find / -name anythingllm.db 2>/dev/null• generic web:
curl -I http://your-anythingllm-server/api/document/move-files?path=../../../../etc/passwddisclosure
漏洞利用状态
EPSS
0.27% (51% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 anything-llm 升级至 1.2.2 或更高版本，该版本修复了此漏洞。如果升级会破坏现有系统，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤对 '/api/document/move-files' 端点的请求，阻止恶意文件移动操作。配置 WAF 规则以阻止包含 '../' 或其他路径遍历模式的请求。在升级后，请验证数据库文件是否位于安全的位置，并确认应用程序能够正常访问数据库。
Actualice anything-llm a la versión 1.2.2 o superior. Esta versión contiene una corrección para la vulnerabilidad de path traversal. La actualización se puede realizar a través del gestor de paquetes npm o siguiendo las instrucciones proporcionadas por el proveedor.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-10513 描述了 anything-llm 的 'document uploads manager' 功能中的路径遍历漏洞，允许攻击者访问和操作数据库文件，可能导致敏感数据泄露。
如果您正在使用 anything-llm 的版本小于或等于 1.2.2，则可能受到此漏洞的影响。
请立即将 anything-llm 升级至 1.2.2 或更高版本以修复此漏洞。
目前尚无公开的利用程序，但由于漏洞的 CVSS 评分为高，存在被利用的风险。
请访问 mintplex-labs 的官方网站或 GitHub 仓库，查找有关 CVE-2024-10513 的安全公告。