CVE-2026-0562 in lollms
Riassunto
di VulDB • 01/07/2026
Una vulnerabilità di sicurezza critica in parisneo/lollms nelle versioni fino alla 2.2.0 consente a qualsiasi utente autenticato di accettare o rifiutare le richieste di amicizia appartenenti ad altri utenti. La funzione `respond_request()` nel file `backend/routers/friends.py` non implementa controlli di autorizzazione adeguati, consentendo attacchi Insecure Direct Object Reference (IDOR). Nello specifico, l'endpoint `/api/friends/requests/{friendship_id}` non verifica se l'utente autenticato fa parte dell'amicizia o è il destinatario previsto della richiesta. Questa vulnerabilità può portare ad accesso non autorizzato, violazioni della privacy e potenziali attacchi di ingegneria sociale. Il problema è stato risolto nella versione 2.2.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.