CVE-2026-0560
Təsvir
parisneo/lollms versiya 2.2.0-dan əvvəlki versiyalarda, xüsusilə `/api/files/export-content` son nöqtəsində Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. `backend/routers/files.py` faylındakı `_download_image_to_temp()` funksiyası istifadəçi tərəfindən idarə olunan URL-ləri yoxlamır və bu, hücumçulara daxili xidmətlərə və bulud metadata son nöqtələrinə ixtiyari HTTP sorğuları göndərməyə imkan verir. Bu zəiflik daxili şəbəkəyə girişə, bulud metadata məlumatlarına çıxışa, məlumat sızmasına, port skanlaşdırılmasına və potensial olaraq uzaqdan kodun icrasına səbəb ola bilər.
Necə düzəltmək olar
- lollms2.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms | v ≤ 2.1.0 | — |
| lollmsPyPI | v < 2.1.1 | 2.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.