CVE-2026-0562
Təsvir
parisneo/lollms-in 2.2.0 versiyasına qədər olan versiyalarında kritik təhlükəsizlik boşluğu hər hansı autentifikasiya olunmuş istifadəçiyə digər istifadəçilərə aid dostluq sorğularını qəbul etməyə və ya rədd etməyə imkan verir. `backend/routers/friends.py` faylındakı `respond_request()` funksiyasında lazımi avtorizasiya yoxlamaları tətbiq edilməmişdir ki, bu da Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) hücumlarına şərait yaradır. Xüsusilə, `/api/friends/requests/{friendship_id}` son nöqtəsi (endpoint), autentifikasiya olunmuş istifadəçinin həmin dostluğun tərəfi və ya sorğunun nəzərdə tutulmuş alıcısı olub-olmadığını yoxlamır. Bu boşluq icazəsiz girişə, məxfiliyin pozulmasına və potensial sosial mühəndislik hücumlarına səbəb ola bilər. Problem 2.2.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- lollms2.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms | v ≤ 2.1.0 | — |
| lollmsPyPI | v < 2.1.1 | 2.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.