CVE-2024-4839

parisneo/lollms-webui, versões 9.6 até a mais recente

Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) na função “Configurações de servidores”, afetando serviços como o Elasticsearch, o XTTS, o Petals, o vLLM e o Motion Ctrl, que não possuem proteção contra CSRF. Esse problema permite que invasores induzam usuários a instalar serviços sem saber, enviando solicitações de instalação maliciosas, o que resulta em ações realizadas pelos usuários sem seu consentimento.

Para as versões 9.6 até a mais recente, considere desativar os serviços afetados, incluindo o Elasticsearch Service, o XTTS Service, o Petals Service, o vLLM Service e o Motion Ctrl Service, até que um patch esteja disponível para adicionar proteção contra CSRF. Restrinja o acesso à função “Configurações de Servidores” para minimizar o risco de exploração. Evite usar a função para instalar novos serviços até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.