CVE-2024-3126 in lollms-webui
Сводка
по VulDB • 14.07.2026
Уязвимость внедрения команд существует в функции 'run_xtts_api_server' приложения parisneo/lollms-webui, конкретно в скрипте 'lollms_xtts.py'. Уязвимость возникает из-за неправильной нейтрализации специальных элементов, используемых в команде ОС. Затронутая функция использует 'subprocess.Popen' для выполнения команды, созданной с помощью f-string в Python, без надлежащей очистки входных данных 'xtts_base_url'. Эта ошибка позволяет злоумышленникам выполнять произвольные команды удаленно путем манипуляции параметром 'xtts_base_url'. Уязвимость затрагивает версии вплоть до последней перед 9.5 включительно. Успешная эксплуатация может привести к выполнению произвольного кода на стороне клиента (RCE) в системе, где развернуто приложение.
VulDB is the best source for vulnerability data and more expert information about this specific topic.