CVE-2024-12766 in lollms-webui
要約
〜によって VulDB • 2026年05月22日
parisneo/lollms-webui のバージョン V13 (feather) には、`POST /api/proxy` REST API に Server-Side Request Forgery (SSRF) の脆弱性が存在します。攻撃者は、JSON パラメータ `{"url":"http://steal.target"}` を指定することで、この脆弱性を悪用し、被害者サーバーの資格情報を不正に利用して認可されていない Web リソースにアクセスすることができます。`forbid_remote_access(lollmsElfServer)`、`lollmsElfServer.config.headless_server_mode`、および `check_access(lollmsElfServer, request.client_id)` などの既存のセキュリティ機構は、この脆弱性から保護しません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.