Agnai 在图像上传中容易受到相对路径遍历攻击 (CVE-2024-47171)

CVE编号

CVE-2024-47171

利用情况

暂无

补丁情况

N/A

披露时间

2024-09-27
漏洞描述
Agnai是一个多用户、多机器人的人工智能角色扮演聊天系统。在版本低于1.0.330的情况下存在一个漏洞，攻击者可以在服务器上选择位置上传图像文件。这个问题可能导致图像文件被上传到未经授权或意外的目录，包括覆盖现有的图像，可能会被用于破坏网站。此漏洞不影响使用S3兼容存储的agnai.chat安装或未公开暴露的自托管版本。版本1.0.330修复了这一漏洞。
解决建议
"将组件 agnai 升级至 1.0.330 及以上版本"
参考链接
https://github.com/agnaistic/agnai/blob/75abbd5b0f5e48ddecc805365cf1574d05ee1...
https://github.com/agnaistic/agnai/blob/75abbd5b0f5e48ddecc805365cf1574d05ee1...
https://github.com/agnaistic/agnai/security/advisories/GHSA-g54f-66mw-hv66
CVSS3评分
N/A
  • 攻击路径
    N/A
  • 攻击复杂度
    N/A
  • 权限要求
    N/A
  • 影响范围
    N/A
  • 用户交互
    N/A
  • 可用性
    N/A
  • 保密性
    N/A
  • 完整性
    N/A
N/A
CWE-ID 漏洞类型
CWE-35 路径遍历：'.../...//'
阿里云安全产品覆盖情况