PT-2025-12144
CVE-2024-12766
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-20
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
parisneo/lollms-webui الإصدار V13 (feather)
الوصف
تتمثل المشكلة في ثغرة أمنية من نوع تزوير الطلبات من جانب الخادم (SSRF) في واجهة برمجة التطبيقات REST ”POST /api/proxy“. يمكن للمهاجمين استغلال هذه الثغرة للوصول إلى موارد ويب غير مصرح بها عن طريق تحديد المعلمة JSON
{’url‘:”http://steal.target“}. آليات الأمان الحالية، مثل forbid remote access(lollmsElfServer) وlollmsElfServer.config.headless server mode وcheck access(lollmsElfServer, request.client id)، لا توفر الحماية من هذه الثغرة الأمنية.التوصيات
كإجراء مؤقت، يُنصح بتعطيل نقطة نهاية واجهة برمجة التطبيقات
POST /api/proxy حتى يتوفر تصحيح.قم بتقييد الوصول إلى
lollmsElfServer لتقليل مخاطر الاستغلال.تجنب استخدام المعلمة
url في نقطة نهاية واجهة برمجة التطبيقات المتأثرة حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾