CVE-2024-5125
Açıklama
parisneo/lollms-webui versiyon 9.6, yükleme işlemi sırasında SVG dosyalarının yetersiz girdi doğrulaması ve işlenmesi nedeniyle Siteler Arası Betik Çalıştırma (XSS) ve Açık Yönlendirme (Open Redirect) açıklarına sahiptir. XSS zafiyeti, saldırganların SVG dosyaları içine kötü amaçlı JavaScript kodu yerleştirmesine olanak tanır; bu kod render edildiğinde çalışarak potansiyel kimlik bilgisi hırsızlığına ve yetkisiz veri erişimine yol açar. Açık Yönlendirme zafiyeti ise SVG dosyaları içindeki yetersiz URL doğrulamasından kaynaklanmakta ve saldırganların kullanıcıları kötü amaçlı web sitelerine yönlendirerek onları oltalama saldırılarına, kötü amaçlı yazılım dağıtımına ve itibar kaybına maruz bırakmasına imkan tanımaktadır. Bu zafiyetler, uygulamanın AI modülüne dosya gönderme işlevinde mevcuttur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms-webui | 9.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.