CVE-2024-4499

lollms versão 9.6

Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no servidor XTTS devido a uma política CORS permissiva, permitindo que invasores realizem ações não autorizadas ao induzir um usuário a visitar uma página da web maliciosa. Isso pode acionar solicitações arbitrárias à API LoLLMS-XTTS, levando à leitura e gravação de arquivos de áudio. Quando combinada com outras vulnerabilidades, ela poderia permitir a leitura de arquivos arbitrários no sistema e a gravação de arquivos fora do local permitido para arquivos de áudio.

Para a versão 9.6, considere implementar uma política CORS mais rigorosa para impedir solicitações de API não autorizadas como uma solução temporária. Restrinja o acesso ao servidor XTTS para minimizar o risco de exploração. Evite usar a API LoLLMS-XTTS para operações confidenciais até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.