CVE-2024-32881
CriticalSummary
Danswer, asystent AI połączony z dokumentami, aplikacjami i ludźmi w firmie, jest podatny na nieautoryzowany dostęp do tokenów botów Slack. Osoba z dostępem do sieci może ukraść tokeny botów Slack i je ustawić, co prowadzi do pełnego przejęcia bota Slack klienta.
Risk Assessment
Zagrożenie to może prowadzić do nieautoryzowanego dostępu do wewnętrznych zasobów Slack, co stwarza ryzyko wycieku danych i naruszenia prywatności organizacji.
Recommendation
Zaleca się aktualizację do wersji 3.63, w której problem został załatany, aby zabezpieczyć się przed tym rodzajem ataku.
Original NVD description (English source)
Danswer is the AI Assistant connected to company's docs, apps, and people. Danswer is vulnerable to unauthorized access to GET/SET of Slack Bot Tokens. Anyone with network access can steal slack bot tokens and set them. This implies full compromise of the customer's slack bot, leading to internal Slack access. This issue was patched in version 3.63.