CVE-2024-12766 in lollms-webui
Zusammenfassung
von VulDB • 15.05.2026
In parisneo/lollms-webui versione V13 (feather) è presente una vulnerabilità di Server-Side Request Forgery (SSRF) nell'API REST `POST /api/proxy`. Gli attaccanti possono sfruttare questa vulnerabilità per abusare delle credenziali del server vittima e accedere a risorse web non autorizzate specificando il parametro JSON `{"url":"http://steal.target"}`. I meccanismi di sicurezza esistenti, quali `forbid_remote_access(lollmsElfServer)`, `lollmsElfServer.config.headless_server_mode` e `check_access(lollmsElfServer, request.client_id)`, non offrono protezione contro questa vulnerabilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.