Уязвимость в mintplex-labs/anything-llm позволяет пользователям с ролями менеджера повышать свои привилегии до ролей администратора из-за п…

Уязвимость в mintplex-labs/anything-llm позволяет пользователям с ролями менеджера повышать свои привилегии до ролей администратора из-за проблемы массового назначения. Конечная точка API '/admin/system-preferences' неправильно авторизует пользователей уровня менеджера на изменение системной переменной 'multi_user_mode', позволяя им получать доступ к конечной точке '/api/system/enable-multi-user' и создавать нового пользователя-администратора. Эта проблема возникает из-за того, что конечная точка принимает полный объект JSON в теле запроса без надлежащей проверки изменяемых полей, что приводит к несанкционированному изменению системных настроек и последующему повышению привилегий.