CVE-2024-2359

parisneo/lollms-webui versão 9.3

O problema decorre do tratamento dado pela aplicação ao endpoint “/execute code”, que, por padrão, deve estar bloqueado contra acesso externo. No entanto, invasores podem explorar o endpoint “/update setting”, que carece de controle de acesso adequado, para modificar a configuração host em tempo de execução. Ao alterar a configuração host para um valor controlado pelo invasor, a restrição no endpoint “/execute code” pode ser contornada, levando à execução remota de código. Isso se deve à neutralização inadequada de elementos especiais usados em um comando do sistema operacional.

Para a versão 9.3 do parisneo/lollms-webui, como solução temporária, considere desativar o endpoint /execute code até que um patch esteja disponível. Restrinja o acesso ao endpoint /update setting para minimizar o risco de exploração. Evite usar a configuração host nos endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.