CVE-2024-12766
Təsvir
parisneo/lollms-webui versiya V13 (feather), `POST /api/proxy` REST API-da Server-Side Request Forgery (SSRF) boşluğuna malikdir. Hücumçular `{"url":"http://steal.target"}` JSON parametrini təyin etməklə, qurban serverin etibarnamələrindən istifadə edərək icazəsiz veb resurslara daxil olmaq üçün bu boşluqdan istifadə edə bilərlər. `forbid_remote_access(lollmsElfServer)`, `lollmsElfServer.config.headless_server_mode` və `check_access(lollmsElfServer, request.client_id)` kimi mövcud təhlükəsizlik mexanizmləri bu boşluğa qarşı qoruma təmin etmir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms_web_ui | 13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.