В эндпоинте `/api/invite/:code` репозитория mintplex-labs/anything-llm существует уязвимость массового присвоения, позволяющая несанкционир…

В эндпоинте `/api/invite/:code` репозитория mintplex-labs/anything-llm существует уязвимость массового присвоения, позволяющая несанкционированно создавать учетные записи с высокими привилегиями. Перехватывая и изменяя HTTP-запрос во время процесса создания учетной записи через ссылку-приглашение, злоумышленник может добавить свойство `role` со значением `admin`, тем самым получая административный доступ. Эта проблема возникает из-за отсутствия allowlisting и blocklisting свойств, что позволяет злоумышленнику эксплуатировать систему и выполнять действия в качестве администратора.