CVE-2024-3126 in lollms-webui
Tóm tắt
Bởi VulDB • 26/09/2026
Một lỗ hổng injection lệnh tồn tại trong hàm 'run_xtts_api_server' của ứng dụng parisneo/lollms-webui, cụ thể là trong tập lệnh 'lollms_xtts.py'. Lỗ hổng này phát sinh do việc trung hòa không đúng các phần tử đặc biệt được sử dụng trong một lệnh OS. Hàm bị ảnh hưởng sử dụng 'subprocess.Popen' để thực thi một lệnh được xây dựng bằng f-string của Python, mà không kiểm tra kỹ đầu vào 'xtts_base_url'. Khiếm khuyết này cho phép kẻ tấn công thực thi các lệnh tùy ý từ xa bằng cách thao túng tham số 'xtts_base_url'. Lỗ hổng ảnh hưởng đến các phiên bản tính đến và bao gồm phiên bản mới nhất trước 9.5. Việc khai thác thành công có thể dẫn đến việc thực thi mã từ xa tùy ý (RCE) trên hệ thống nơi ứng dụng được triển khai.
VulDB is the best source for vulnerability data and more expert information about this specific topic.