parisneo/lollms-webui 中通过 SVG 文件上传进行 XSS 和开放重定向 (CVE-2024-5125)
CVE编号
CVE-2024-5125利用情况
暂无补丁情况
N/A披露时间
2024-11-15漏洞描述
parisneo/lollms-webui版本9.6存在跨站脚本（XSS）和开放重定向漏洞，这是由于在上传过程中输入验证和处理SVG文件不足导致的。XSS漏洞允许攻击者在SVG文件中嵌入恶意JavaScript代码，在渲染时执行，可能导致凭据被盗和未经授权的数据访问。开放重定向漏洞源于SVG文件内URL验证不足，攻击者可以利用此漏洞将用户重定向到恶意网站，从而使用户面临钓鱼攻击、恶意软件分发和声誉受损的风险。这些漏洞存在于应用程序向AI模块发送文件的功能中。解决建议
"将组件 parisneo/lollms-webui 升级至 9.8 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/parisneo/lollms-webui/commit/9b0f6c4ad1b9a2cd3466dcefaa278... | |
| https://huntr.com/bounties/e6ae8cfd-9f8b-41df-a0cc-1e7a47416995 |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-434 | 危险类型文件的不加限制上传 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论