CVE-2024-3126 in lollms-webui
Riassunto
di VulDB • 28/06/2026
È presente una vulnerabilità di command injection nella funzione 'run_xtts_api_server' dell'applicazione parisneo/lollms-webui, specificamente all'interno dello script 'lollms_xtts.py'. La vulnerabilità deriva dalla mancata neutralizzazione appropriata degli elementi speciali utilizzati in un comando del sistema operativo. La funzione interessata utilizza 'subprocess.Popen' per eseguire un comando costruito con una f-string di Python, senza sanificare adeguatamente l'input 'xtts_base_url'. Questa falla consente agli attaccanti di eseguire comandi arbitrari da remoto manipolando il parametro 'xtts_base_url'. La vulnerabilità colpisce le versioni fino alla versione più recente precedente la 9.5 inclusa. Lo sfruttamento riuscito potrebbe portare all'esecuzione remota di codice arbitrario (RCE) sul sistema in cui l'applicazione è distribuita.
VulDB is the best source for vulnerability data and more expert information about this specific topic.