CVE-2024-1646

parisneo/lollms-webui (versões afetadas não especificadas)

O problema está relacionado à proteção insuficiente de pontos de extremidade confidenciais, permitindo a contornagem da autenticação. O método de restrição da aplicação, que verifica se o parâmetro host não é ‘0.0.0.0’, é inadequado quando a aplicação está vinculada a uma interface específica. Essa vulnerabilidade pode levar à negação de serviço, desativação ou substituição não autorizada de gravações e, potencialmente, outros impactos se determinados recursos estiverem habilitados na configuração. Os endpoints sensíveis incluem ‘/restart program’, ‘/update software’, ‘/check update’, ‘/start recording’ e ‘/stop recording’.

Como solução temporária, considere restringir o acesso aos endpoints sensíveis ‘/restart program’, ‘/update software’, ‘/check update’, ‘/start recording’ e ‘/stop recording’ para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.