Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2024-3279

Improper Access Control in mintplex-labs/anything-llm

Публикация: 09.08.2024·Обновлена: 15.10.2025, 15:49·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An improper access control vulnerability exists in the mintplex-labs/anything-llm application, specifically within the import endpoint. This vulnerability allows an anonymous attacker, without an account in the application, to import their own database file, leading to the deletion or spoofing of the existing `anythingllm.db` file. By exploiting this vulnerability, attackers can serve malicious data to users or collect information about them. The vulnerability stems from the application's failure to properly restrict access to the data-import functionality, allowing unauthorized database manipulation.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

mintplex-labs / mintplex-labs/anything-llm 

{
  "status": "affected",
  "version": "unspecified",
  "lessThan": "1.0.0",
  "versionType": "custom"
}

mintplexlabs / anythingllm 

{
  "status": "affected",
  "version": "0",
  "lessThan": "1.0.0",
  "versionType": "custom"
}
cpe:2.3:a:mintplexlabs:anythingllm:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.0 · cve9.1
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнет
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-306 · Отсутствие аутентификации для критической функции

Источники и ссылки

Материал · huntr.com · cveМатериал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:08:01.585535+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T22:44:49.247196+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T22:44:49.247196+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T22:44:49.247196+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:08:01.585535+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T22:44:49.247196+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:08
  2. Данные обновлены05.11.2026, 00:08
  3. Данные обновлены04.11.2026, 00:07
  4. Данные обновлены03.11.2026, 00:07
  5. Данные обновлены02.11.2026, 00:06
  6. Данные обновлены31.10.2026, 11:53
  7. Данные обновлены30.10.2026, 13:04
  8. Данные обновлены29.10.2026, 10:23
  9. Опубликована29.10.2026, 01:44

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-5627
Path Traversal in mintplex-labs/anything-llm
mintplex-labs / mintplex-labs/anything-llm · mintplexlabs / anythingllm
Критический7.2
0,82 %
PoCПатч
07.04.2026
CVE-2026-41318
AnythingLLM vulnerable to stored DOM XSS in chart caption renderer - LLM-driven prompt injection produces executable HTML via unsanitized renderMarkdown(content.caption) in Chartable component
Mintplex-Labs / anything-llm · mintplexlabs / anythingllm
Высокий5.4
0,2 %
PoCПатч
24.04.2026
CVE-2024-3152
Privilege Escalation and Local File Inclusion in mintplex-labs/anything-llm
mintplex-labs / mintplex-labs/anything-llm · mintplexlabs / anythingllm
Высокий8.8
0,57 %
06.06.2024
CVE-2024-5208
Uncontrolled Resource Consumption in mintplex-labs/anything-llm
mintplex-labs / mintplex-labs/anything-llm · mintplexlabs / anythingllm
Средний6.5
0,62 %
19.06.2024
CVE-2024-0763
Improper validation of document removal parameter
mintplex-labs / mintplex-labs/anything-llm · mintplexlabs / anythingllm
Высокий8.1
0,9 %
28.02.2024