Vulnerabilidad en parisneo/lollms-webui y Open Redirect (CVE-2024-5125)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-434
Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
14/11/2024
Última modificación:
15/11/2024
Descripción
La versión 9.6 de parisneo/lollms-webui es vulnerable a Cross-Site Scripting (XSS) y Open Redirect debido a una validación de entrada y un procesamiento inadecuados de los archivos SVG durante el proceso de carga. La vulnerabilidad XSS permite a los atacantes incrustar código JavaScript malicioso en los archivos SVG, que se ejecuta al renderizarlos, lo que conduce a un posible robo de credenciales y acceso no autorizado a los datos. La vulnerabilidad Open Redirect surge de una validación de URL insuficiente dentro de los archivos SVG, lo que permite a los atacantes redirigir a los usuarios a sitios web maliciosos, exponiéndolos así a ataques de phishing, distribución de malware y daños a la reputación. Estas vulnerabilidades están presentes en la funcionalidad de la aplicación para enviar archivos al módulo de IA.
Impacto
Puntuación base 3.x
7.30
Gravedad 3.x
ALTA