CVE-2024-3126 in lollms-webui
要約
〜によって VulDB • 2026年06月09日
parisneo/lollms-webuiアプリケーションの'run_xtts_api_server'関数、特に'lollms_xtts.py'スクリプト内にコマンドインジェクション脆弱性が存在します。この脆弱性は、OSコマンドで使用される特殊要素の不適切な中和に起因します。影響を受ける関数は、'xtts_base_url'入力を適切にサニタイズすることなく、Pythonのf-stringを使用して構築されたコマンドを実行するために'subprocess.Popen'を利用しています。この欠陥により、攻撃者は'xtts_base_url'パラメータを操作することで、リモートから任意のコマンドを実行できます。この脆弱性は、バージョン9.5より前の最新バージョンまで影響します。悪用が成功すると、アプリケーションがデプロイされているシステム上で任意のリモートコード実行（RCE）につながる可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.