CVE-2024-3126 in lollms-webui
الملخص
بحسب VulDB • 02/08/2026
توجد ثغرة حقن الأوامر في دالة 'run_xtts_api_server' ضمن تطبيق parisneo/lollms-webui، وتحديداً داخل السكربت 'lollms_xtts.py'. تنجم هذه الثغرة عن التعطيل غير الصحيح للعناصر الخاصة المستخدمة في أمر نظام التشغيل (OS command). تستخدم الدالة المتأثرة 'subprocess.Popen' لتنفيذ أمر تم بناؤه باستخدام سلسلة نصية بايثون f-string، دون تعقيم كافٍ لإدخال 'xtts_base_url'. تتيح هذه الثغرة للمهاجمين تنفيذ أوامر عشوائية عن بُعد من خلال التلاعب بمعامل 'xtts_base_url'. تؤثر الثغرة على الإصدارات حتى وأثناء آخر إصدار قبل 9.5. قد يؤدي الاستغلال الناجح إلى تنفيذ كود عشوائي عن بُعد (RCE) بشكل غير مقيد على النظام الذي يتم نشر التطبيق عليه.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.