lollms-webui: CORS-Fehlkonfiguration ermöglicht Diebstahl sensibler Daten

Beschreibung

In parisneo/lollms-webui vor Version 10 erlaubt eine CORS-Fehlkonfiguration Angreifern, sensible Informationen wie Logs, Browser-Sitzungen und Einstellungen mit privaten API-Schlüsseln aus anderen Diensten zu stehlen. Zusätzlich können Angreifer dadurch Aktionen im Namen eines Benutzers ausführen, etwa ein Projekt löschen oder eine Nachricht senden. Die Schwachstelle beeinträchtigt sowohl Vertraulichkeit als auch Integrität der Informationen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf Version 10 oder neuer aktualisieren.

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198