CVE-2026-12228

ŚrednieCVSS 5.4

Opublikowano: 18/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Podatność XSS w punkcie końcowym POST /api/prompts/share w parisneo/lollms (najnowsza wersja). Atakujący może przechowywać złośliwy kod JavaScript w wiadomości, który po otwarciu przez ofiarę wykonuje się w jej przeglądarce, umożliwiając kradzież danych i przejęcie konta.

Ocena ryzyka

Ryzyko wykonania dowolnego kodu JavaScript w kontekście ofiary, co może prowadzić do kradzieży sesji, danych i przejęcia konta.

Rekomendacja

Zastosuj odpowiednie sanityzowanie danych wejściowych po stronie serwera. Zaktualizuj lollms do wersji z poprawką, jeśli dostępna. Ogranicz możliwość wysyłania wiadomości do zaufanych użytkowników.

Inne podatności w lollms

CVE-2026-1116Średnie
W parisneo/lollms przed wersją 2.2.0 zidentyfikowano podatność Cross-site Scripting (XSS) w metodzie from_dict klasy AppLollmsMessage. Wynika ona z braku sanityzacji lub kodowania HTML pola content podczas deserializacji danych dostarczonych przez użytkownika, co pozwala na wstrzyknięcie złośliwego HTML lub JavaScript wykonywanego w przeglądarce innego użytkownika. Eksploatacja może prowadzić do przejęcia konta, przejęcia sesji lub ataków robakowych.

Oryginalny opis (angielski, źródło NVD)

A stored cross-site scripting (XSS) vulnerability exists in the `POST /api/prompts/share` endpoint of parisneo/lollms (latest version). The endpoint stores attacker-controlled `prompt_content` into `DBDirectMessage.content` without server-side sanitization. When a victim opens the direct message (DM) thread, the message is rendered by the DM UI through `MessageContentRenderer`, which uses `v-html` to insert rendered HTML into the DOM. The frontend sanitizer, which is regex-based, fails to comprehensively sanitize attacker-controlled HTML, allowing malicious payloads to execute in the victim's browser context. This vulnerability enables any authenticated user to send a malicious prompt-share message to another user's inbox, leading to arbitrary JavaScript execution, authenticated actions as the victim, exposure of same-origin application data, and potential account takeover.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS