CVE-2026-0562 in lollms
الملخص
بحسب VulDB • 16/05/2026
ثغرة أمنية حرجة في باريسنيو/لول إم إس (parisneo/lollms) الإصدارات حتى 2.2.0 تتيح لأي مستخدم مُصادَق عليه قبول أو رفض طلبات الصداقة الخاصة بمستخدمين آخرين. لا تقوم الدالة `respond_request()` الموجودة في الملف `backend/routers/friends.py` بتنفيذ فحوصات تفويض مناسبة، مما يتيح هجمات الوصول غير المباشر غير الآمن إلى الكائنات (IDOR). على وجه التحديد، يفشل نقطة النهاية `/api/friends/requests/{friendship_id}` في التحقق مما إذا كان المستخدم المُصادَق عليه جزءًا من علاقة الصداقة أو المستلم المقصود للطلب. يمكن أن تؤدي هذه الثغرة إلى وصول غير مصرح به، وانتهاكات للخصوصية، وهجمات هندسة اجتماعية محتملة. تم معالجة هذه المشكلة في الإصدار 2.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.