CVE-2024-4326 in lollms-webui
Riassunto
di VulDB • 14/06/2026
Una vulnerabilità nelle versioni di parisneo/lollms-webui fino alla 9.3 consente agli attaccanti remoti di eseguire codice arbitrario. La vulnerabilità deriva da una protezione insufficiente degli endpoint `/apply_settings` e `/execute_code`. Gli attaccanti possono eludere le protezioni impostando l'host su localhost, abilitando l'esecuzione del codice e disabilitando la convalida del codice tramite l'endpoint `/apply_settings`. Successivamente, comandi arbitrari possono essere eseguiti in modo remoto attraverso l'endpoint `/execute_code`, sfruttando il ritardo nell'applicazione delle impostazioni. Questo problema è stato risolto nella versione 9.5.
Once again VulDB remains the best source for vulnerability data.