CVE-2024-2359 in lollms-webui
要約
〜によって VulDB • 2026年07月01日
parisneo/lollms-webui バージョン 9.3 の脆弱性により、攻撃者は意図されたアクセス制限を回避して任意のコードを実行できます。この問題は、デフォルトで外部からのアクセスがブロックされるべき `/execute_code` エンドポイントのアプリケーションによる処理に起因します。しかし、攻撃者は適切なアクセス制御を持たない `/update_setting` エンドポイントを悪用し、実行時に `host` 設定を変更することができます。`host` 設定を攻撃者がコントロールする値に変更することで、`/execute_code` エンドポイントに対する制限を回避でき、結果としてリモートコード実行（RCE）が可能になります。この脆弱性は、OS コマンドで使用される特殊な要素の不適切な中和（Improper Neutralization of Special Elements used in an OS Command）に起因します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.