CVE-2024-4267
Açıklama
parisneo/lollms-webui ürününün özellikle 'open_file' modülünde, sürüm 9.5'te bir uzaktan kod çalıştırma (RCE) zafiyeti bulunmaktadır. Zafiyet, 'open_file' fonksiyonu içindeki bir komutta kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesinden kaynaklanmaktadır. Bir saldırgan, 'open_file' fonksiyonu tarafından işlendiğinde rastgele sistem komutlarını çalıştıran veya hassas dosya içeriğini okuyan kötü amaçlı bir dosya yolu oluşturarak bu zafiyeti istismar edebilir. Bu sorun, kullanıcı tarafından sağlanan yolların yeterli doğrulama yapılmadan dosyaları açmak için subprocess.Popen'in güvenli olmayan şekilde kullanıldığı kodda mevcut olup potansiyel bir komut enjeksiyonuna yol açmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms-webui | 9.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.