PT-2024-23903 · Parisneo · Lollms-Webui

CVE-2024-3126 · Publicado 2024-05-16 · Atualizado 2024-05-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do parisneo/lollms-webui anteriores à 9.5

Descrição

Existe uma vulnerabilidade de injeção de comando devido à neutralização inadequada de elementos especiais em um comando do sistema operacional dentro da função run xtts api server do script lollms xtts.py. Isso permite que invasores executem comandos arbitrários remotamente manipulando o parâmetro xtts base url, o que pode levar à execução remota de código arbitrário no sistema onde o aplicativo está implantado.

Recomendações

Para versões anteriores à 9.5, atualize para a versão 9.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à função run xtts api server ou sanitizar a entrada xtts base url para evitar ataques de injeção de comando.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2024-3126

Produtos afetados

Lollms-Webui

Referências · 5

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/3xxx/CVE-2024-3126.json · Exploit
• https://github.com/parisneo/lollms-webui/commit/41dbb1b3f2e78ea276e5269544e50514252c0c25 · Correção
• https://osv.dev/vulnerability/CVE-2024-3126 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-3126 · Nota de Segurança
• https://huntr.com/bounties/0e2bec70-826e-4c24-8015-31921e23fd12 · Correção