Vulnerabilidad en huntr.dev (CVE-2024-4839)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

24/06/2024

Última modificación:

07/07/2025

Descripción

Existe una vulnerabilidad de Cross-Site Request Forgery (CSRF) en la función &#39;Configuraciones de servidores&#39; de parisneo/lollms-webui, versiones 9.6 a la última. Las funciones afectadas incluyen el servicio de búsqueda elástica (en construcción), el servicio XTTS, el servicio Petals, el servicio vLLM y el servicio Motion Ctrl, que carecen de protección CSRF. Esta vulnerabilidad permite a los atacantes engañar a los usuarios para que instalen involuntariamente el servicio XTTS entre otros paquetes enviando una solicitud de instalación maliciosa. La explotación exitosa da como resultado que los atacantes engañen a los usuarios para que realicen acciones sin su consentimiento.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.30 BAJA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno