一、 漏洞 CVE-2024-0798 基础信息
漏洞标题
绕过特权删除已上传的文档或文件夹
来源：AIGC 神龙大模型
漏洞描述信息
即使管理员分配给该用户的默认角色明确不允许在系统上执行此操作，用户仍可以发送带有 DELETE 方法的 HTTP 请求到 remove-folder 和 remove-document，从而从实例中删除文件夹和源文件。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
来源：AIGC 神龙大模型
漏洞类别
对路径名的限制不恰当(路径遍历)
来源：AIGC 神龙大模型
漏洞标题
Privilege Escalation in mintplex-labs/anything-llm
来源：美国国家漏洞数据库 NVD
漏洞描述信息
A privilege escalation vulnerability exists in mintplex-labs/anything-llm, allowing users with 'default' role to delete documents uploaded by 'admin'. Despite the intended restriction that prevents 'default' role users from deleting admin-uploaded documents, an attacker can exploit this vulnerability by sending a crafted DELETE request to the /api/system/remove-document endpoint. This vulnerability is due to improper access control checks, enabling unauthorized document deletion and potentially leading to loss of data integrity.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
最小特权原则违背
来源：美国国家漏洞数据库 NVD
漏洞标题
AnythingLLM 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
AnythingLLM是符合业务要求的文档聊天机器人。 AnythingLLM 存在安全漏洞，该漏洞源于具有默认权限的用户通过某些操作可以删除管理员上传的文档。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-0798 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-0798 的情报信息