CVE-2024-3126
Açıklama
parisneo/lollms-webui uygulamasının 'lollms_xtts.py' betiği içerisindeki 'run_xtts_api_server' fonksiyonunda bir komut enjeksiyonu zafiyeti bulunmaktadır. Zafiyet, bir işletim sistemi komutunda kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesinden kaynaklanmaktadır. Etkilenen fonksiyon, 'xtts_base_url' girdisini yeterince sanitize etmeden, bir Python f-string ile oluşturulmuş komutu yürütmek için 'subprocess.Popen' kullanmaktadır. Bu açık, saldırganların 'xtts_base_url' parametresini manipüle ederek uzaktan rastgele komutlar çalıştırmasına olanak tanır. Zafiyet, 9.5 öncesindeki son sürüm dahil olmak üzere önceki sürümleri etkilemektedir. Başarılı bir istismar, uygulamanın konuşlandırıldığı sistem üzerinde rastgele uzaktan kod çalıştırmaya (RCE) yol açabilir.
Nasıl düzeltilir
- lollms lollms_web_ui9.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms_web_ui | v < 9.5 | 9.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.