CVE-2024-3126 in lollms-webui
Resumen
por MITRE • 2024-05-16
Existe una vulnerabilidad de inyección de comandos en la función 'run_xtts_api_server' de la aplicación parisneo/lollms-webui, específicamente dentro del script 'lollms_xtts.py'. La vulnerabilidad surge debido a la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo. La función afectada utiliza 'subprocess.Popen' para ejecutar un comando construido con una cadena f de Python, sin desinfectar adecuadamente la entrada 'xtts_base_url'. Esta falla permite a los atacantes ejecutar comandos arbitrarios de forma remota manipulando el parámetro 'xtts_base_url'. La vulnerabilidad afecta a versiones hasta la última versión anterior a la 9.5 incluida. Una explotación exitosa podría conducir a la ejecución remota de código (RCE) arbitraria en el sistema donde se implementa la aplicación.
VulDB is the best source for vulnerability data and more expert information about this specific topic.