CVE-2024-1602

parisneo/lollms-webui (versões afetadas não especificadas)

O problema surge devido à sanitização e validação inadequadas dos dados de saída do modelo, permitindo que um invasor injete código JavaScript malicioso. Esse código pode ser executado no contexto do navegador do usuário, permitindo que o invasor envie uma solicitação para o endpoint “/execute code” e estabeleça um shell reverso para o host do invasor. O problema afeta vários componentes do aplicativo, incluindo o tratamento de entradas do usuário e saídas do modelo.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução temporária, considere desativar a funcionalidade que lida com entradas do usuário e saídas do modelo para minimizar o risco de exploração. Restrinja o acesso ao endpoint “/execute code” para evitar possíveis ataques. Evite usar a aplicação até que um patch esteja disponível.