Vulnerabilidad en parisneo/lollms-webui (CVE-2024-3126)

Existe una vulnerabilidad de inyección de comandos en la función 'run_xtts_api_server' de la aplicación parisneo/lollms-webui, específicamente dentro del script 'lollms_xtts.py'. La vulnerabilidad surge debido a la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo. La función afectada utiliza 'subprocess.Popen' para ejecutar un comando construido con una cadena f de Python, sin desinfectar adecuadamente la entrada 'xtts_base_url'. Esta falla permite a los atacantes ejecutar comandos arbitrarios de forma remota manipulando el parámetro 'xtts_base_url'. La vulnerabilidad afecta a versiones hasta la última versión anterior a la 9.5 incluida. Una explotación exitosa podría conducir a la ejecución remota de código (RCE) arbitraria en el sistema donde se implementa la aplicación.