CVE-2024-4326
Təsvir
parisneo/lollms-webui tətbiqinin 9.3 daxil olmaqla versiyalarında uzaqdan kodun icrasına imkan verən zəiflik mövcuddur. Zəiflik `/apply_settings` və `/execute_code` endpoint-lərinin kifayət qədər qorunmamasından qaynaqlanır. Hücumçular host-u localhost olaraq təyin etməklə, kodun icrasını aktivləşdirməklə və `/apply_settings` endpoint-i vasitəsilə kodun validasiyasını söndürməklə qorunmalardan yan keçə bilərlər. Bundan sonra, parametrlərin tətbiqindəki gecikmədən istifadə edərək `/execute_code` endpoint-i vasitəsilə uzaqdan ixtiyari əmrlər icra oluna bilər. Bu problem 9.5 versiyasında həll edilmişdir.
Necə düzəltmək olar
- lollms lollms_web_ui9.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms_web_ui | v < 9.5 | 9.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.