CVE-2024-6673

Versões do lollms-webui da v9.9 até a mais recente

Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no endpoint “install comfyui” do arquivo lollms comfyui.py. Esse endpoint utiliza o método GET sem exigir um ID de cliente, permitindo que um invasor induza a vítima a instalar o ComfyUI. Se o dispositivo da vítima não tiver capacidade suficiente, isso pode resultar em uma falha no sistema.

Para as versões v9.9 até a mais recente, considere desativar o endpoint install comfyui até que um patch esteja disponível para prevenir possíveis ataques CSRF. Restrinja o acesso ao arquivo lollms comfyui.py para minimizar o risco de exploração. Evite usar o método GET para o endpoint “install comfyui” sem mecanismos adequados de validação e autenticação em vigor.