CVE-2026-1114
Təsvir
parisneo/lollms versiya 2.1.0-da tətbiqin sessiya idarəetməsi, JSON Web Token-lərin (JWT) imzalanması üçün zəif gizli açardan istifadə edildiyi səbəbindən yanlış giriş kontroluna qarşı həssasdır. Bu boşluq hücumçuya gizli açarı bərpa etmək üçün oflayn brute-force hücumu həyata keçirməyə imkan verir. Gizli açar əldə edildikdən sonra hücumçu JWT faydalı yükünü dəyişdirərək və onu sındırılmış gizli açarla yenidən imzalayaraq inzibatçı tokenlər saxtalaşa bilər. Bu, icazəsiz istifadəçilərə imtiyazları yüksəltməyə, administrator kimi çıxış etməyə və məhdudlaşdırılmış son nöqtələrə (endpoints) giriş əldə etməyə şərait yaradır. Problem 2.2.0 versiyasında həll edilmişdir.
Necə düzəltmək olar
- lollms2.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms | 2.1.0 | — |
| lollmsPyPI | v < 2.2.0, v ≤ 2.1.0 | 2.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.