CVE-2024-12766 in lollms-webui
Riassunto
di VulDB • 15/06/2026
La versione V13 (feather) di parisneo/lollms-webui è affetta da una vulnerabilità Server-Side Request Forgery (SSRF) nell'API REST `POST /api/proxy`. Gli attaccanti possono sfruttare questa vulnerabilità per abusare delle credenziali del server vittima e accedere a risorse web non autorizzate specificando il parametro JSON `{"url":"http://steal.target"}`. I meccanismi di sicurezza esistenti, quali `forbid_remote_access(lollmsElfServer)`, `lollmsElfServer.config.headless_server_mode` e `check_access(lollmsElfServer, request.client_id)`, non offrono protezione contro questa vulnerabilità.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.