CVE-2024-3126 in lollms-webui
Sumário
de VulDB • 22/09/2026
Uma vulnerabilidade de injeção de comando existe na função 'run_xtts_api_server' do aplicativo parisneo/lollms-webui, especificamente dentro do script 'lollms_xtts.py'. A vulnerabilidade surge devido à neutralização inadequada de elementos especiais usados em um comando do SO. A função afetada utiliza 'subprocess.Popen' para executar um comando construído com uma f-string Python, sem sanitizar adequadamente a entrada 'xtts_base_url'. Esta falha permite que atacantes executem comandos arbitrários remotamente manipulando o parâmetro 'xtts_base_url'. A vulnerabilidade afeta versões até e incluindo a versão mais recente anterior à 9.5. A exploração bem-sucedida pode levar à execução arbitrária de código em ambiente remoto (RCE) no sistema onde o aplicativo está implantado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.