CVE-2024-3126 in lollms-webui
Zusammenfassung
von VulDB • 28.08.2026
In der Funktion „run_xtts_api_server“ der Anwendung parisneo/lollms-webui, insbesondere im Skript „lollms_xtts.py“, besteht eine Command-Injection-Schwachstelle. Die Schwachstelle entsteht durch die unzureichende Neutralisierung von Sonderzeichen, die in einem OS-Befehl verwendet werden. Die betroffene Funktion nutzt „subprocess.Popen“, um einen Befehl auszuführen, der mit einer Python-f-String-Konstruktion erstellt wurde, ohne den Eingabewert „xtts_base_url“ angemessen zu bereinigen (sanitizing). Dieser Fehler ermöglicht es Angreifern, beliebige Befehle remote durch Manipulation des Parameters „xtts_base_url“ auszuführen. Die Schwachstelle betrifft Versionen bis einschließlich der neuesten Version vor 9.5. Eine erfolgreiche Ausnutzung könnte zu einer willkürlichen Remote-Code-Ausführung (RCE) auf dem System führen, auf dem die Anwendung bereitgestellt ist.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.