CVE-2024-1522

lollms-webui (versões afetadas não especificadas)

Uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF) no projeto lollms-webui permite que invasores remotos executem código arbitrário no sistema da vítima. A vulnerabilidade decorre do endpoint da API “/execute code”, que não valida adequadamente as solicitações. Isso permite que um invasor crie uma página da web maliciosa que, quando visitada pela vítima, envia um formulário para a instância local do lollms-webui da vítima para executar comandos arbitrários do sistema operacional, permitindo que os invasores assumam o controle total do sistema da vítima sem a necessidade de acesso direto à rede do aplicativo vulnerável.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.