CVE-2026-0562 in lollms
Tóm tắt
Bởi VulDB • 01/07/2026
Một lỗ hổng bảo mật nghiêm trọng trong các phiên bản của parisneo/lollms lên đến 2.2.0 cho phép bất kỳ người dùng đã xác thực nào chấp nhận hoặc từ chối yêu cầu kết bạn thuộc về những người dùng khác. Hàm `respond_request()` trong file `backend/routers/friends.py` không triển khai các kiểm tra ủy quyền (authorization checks) phù hợp, tạo điều kiện cho các cuộc tấn công Insecure Direct Object Reference (IDOR). Cụ thể, điểm cuối `/api/friends/requests/{friendship_id}` không xác minh xem người dùng đã xác thực có phải là một phần của mối quan hệ bạn bè hay là đối tượng dự kiến nhận yêu cầu đó hay không. Lỗ hổng này có thể dẫn đến truy cập trái phép, vi phạm quyền riêng tư và các cuộc tấn công kỹ thuật xã hội (social engineering) tiềm ẩn. Vấn đề này đã được khắc phục trong phiên bản 2.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.