CVE-2024-6040

parisneo/lollms-webui versão v9.8

O problema está relacionado à ausência do parâmetro client id em lollms binding infos, o que leva a vulnerabilidades de segurança. Especificamente, os endpoints “/reload binding”, “/install binding”, “/reinstall binding”, “/unInstall binding”, “/set active binding settings” e “/update binding settings” estão suscetíveis a ataques CSRF e ataques locais. Um invasor pode explorar isso para realizar ações não autorizadas na máquina da vítima. Além disso, há uma menção a uma vulnerabilidade do sistema operacional relacionada à validação insuficiente de entradas no Google ChromeOS, o que pode permitir que um invasor eleve seus privilégios.

Para a versão v9.8 do parisneo/lollms-webui, considere desativar os endpoints vulneráveis “/reload binding”, “/install binding”, “/reinstall binding”, “/unInstall binding”, “/set active binding settings” e “/update binding settings” até que um patch esteja disponível.

Como solução temporária, restrinja o acesso a esses endpoints para minimizar o risco de exploração.

Evite usar o lollms binding infos sem o parâmetro client id nos endpoints da API afetados até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.