CVE-2024-2359
Təsvir
parisneo/lollms-webui versiya 9.3-də olan zəiflik hücumçulara nəzərdə tutulmuş giriş məhdudiyyətlərini yan keçməyə və ixtiyari kodu icra etməyə imkan verir. Problem tətbiqin standart olaraq xarici girişdən bloklanmış `/execute_code` son nöqtəsinin (endpoint) idarə edilməsindən qaynaqlanır. Lakin hücumçular lazımi giriş kontrolu olmayan `/update_setting` son nöqtəsindən istifadə edərək iş vaxtı (runtime) `host` konfiqurasiyasını dəyişdirə bilərlər. `host` parametrinə hücumçu tərəfindən idarə olunan dəyəri təyin etməklə `/execute_code` son nöqtəsinə qoyulan məhdudiyyəti yan keçmək mümkündür ki, bu da uzaqdan kodun icrasına gətirib çıxarır. Bu zəiflik ƏMƏLİYYAT sistemi əmrində istifadə olunan xüsusi elementlərin düzgün neytrallaşdırılmaması (`Improper Neutralization of Special Elements used in an OS Command`) səbəbindən yaranmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms_web_ui | 9.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.