CVE-2026-1115
Təsvir
parisneo/lollms-in sosial funksiyasında 2.2.0 versiyasından əvvəlki son versiyalara təsir edən Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyi aşkar edilmişdir. Zəiflik `backend/routers/social/__init__.py` faylındakı `create_post` funksiyasında mövcuddur; burada istifadəçi tərəfindən təqdim edilən məzmun təmizlənmədən birbaşa `DBPost` modelinə təyin edilir. Bu, hücumçulara zərərli JavaScript kodlarını yerləşdirməyə və saxlamağa imkan verir ki, bu da administratorlar da daxil olmaqla Ana Lenti (Home Feed) izləyən istifadəçilərin brauzerlərində icra olunur. Bu, hesabın ələ keçirilməsinə, sessiyanın oğurlanmasına və soluxan (wormable) hücumlara səbəb ola bilər. Problem 2.2.0 versiyasında həll edilmişdir.
Necə düzəltmək olar
- lollms2.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms | v ≤ 2.1.0 | — |
| lollmsPyPI | v < 2.2.0 | 2.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.