PT-2024-19596 · Lollms · Lollms
CVE-2024-2288
·
Publicado
2024-06-06
·
Atualizado
2024-10-15
CVSS v3.1
8.3
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:H |
Nome do software vulnerável e versões afetadas
Versões do Lollms até a 7.3.0
Descrição
Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) na funcionalidade de envio de foto de perfil do aplicativo Lollms. Essa vulnerabilidade permite que invasores alterem a foto de perfil da vítima sem o seu consentimento, o que pode levar a uma negação de serviço ao sobrecarregar o sistema de arquivos com arquivos. Além disso, essa falha pode ser explorada para realizar um ataque de script entre sites armazenado (XSS), permitindo que invasores executem JavaScript arbitrário no contexto da sessão do navegador da vítima.
Recomendações
Para versões até 7.3.0, atualize para a versão 9.3 ou superior para resolver o problema.
Como solução temporária, considere desativar a funcionalidade de upload de foto de perfil até que um patch esteja disponível.
Restrinja o acesso ao recurso de upload de foto de perfil para minimizar o risco de exploração.
Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Lollms