Informazioni sul CVE-2024-3126

Command Injection in parisneo/lollms-webui

CWE ID: CWE-78

Base Score (CVSS): N/A

CVE: CVE-2024-3126

Descrizione: Una vulnerabilità di iniezione di comandi esiste nella funzione ‘run_xtts_api_server’ dell’applicazione parisneo/lollms-webui, specificamente all’interno dello script ‘lollms_xtts.py’. La vulnerabilità si verifica a causa del mancato corretto neutralizzazione di elementi speciali utilizzati in un comando operativo del sistema. La funzione interessata utilizza ‘subprocess.Popen’ per eseguire un comando costruito con una f-string in Python, senza adeguatamente sanificare l’input ‘xtts_base_url’. Questo difetto consente agli attaccanti di eseguire comandi arbitrari a distanza sfruttando la manipolazione del parametro ‘xtts_base_url’. La vulnerabilità colpisce versioni fino e inclusi l’ultima versione precedente a 9.5. Un’efficace violazione potrebbe portare all’esecuzione di codice arbitrario remoto (RCE) sul sistema in cui l’applicazione è in esecuzione.

Vettore di attacco

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 0.0 (None)

Riassunto: .

Dettaglio del Vettore

Metrica Valore Significato Descrizione

Riferimenti esterni

Prodotti interessati

  • parisneo – parisneo/lollms-webui

Relazioni con altri prodotti

Produttore:parisneo
Prodotto: parisneo/lollms-webui
Anno: 2024
CWE: CWE-78
CVSS: 0.0

Ulteriori risorse disponibili