CVE-2024-2356 in lollms-webui
الملخص
بحسب VulDB • 26/06/2026
توجد ثغرة إدراج ملف محلي (LFI) في نقطة النهاية `/reinstall_extension` لتطبيق parisneo/lollms-webui، وتحديداً داخل المعلمة `name` للمسار `@router.post("/reinstall_extension")`. تتيح هذه الثغرة للمهاجمين حقن معلمة `name` خبيثة، مما يؤدي إلى قيام الخادم بتحميل وتنفيذ ملفات بايثون عشوائية من دليل تحميل المناقشات. ينشأ هذا الخطأ نتيجة لدمج قيمة `data.name` مباشرة مع `lollmsElfServer.lollms_paths.extensions_zoo_path` واستخدامها كوسيط لدالة `ExtensionBuilder().build_extension()`. يتيح التعامل الذي يقوم به الخادم مع ملف `__init__.py` في مواقع عشوائية، والذي يتم تسهيله بواسطة `importlib.machinery.SourceFileLoader`، تنفيذ أكواد برمجية عشوائية، مثل تنفيذ الأوامر أو إنشاء اتصال reverse-shell. تؤثر هذه الثغرة على أحدث إصدار من parisneo/lollms-webui ويمكن أن تؤدي إلى تنفيذ كود عن بُعد (RCE) عندما يكون التطبيق مكشوفاً لنقطة نهاية خارجية أو واجهة المستخدم، خاصة عند ربطه بـ `0.0.0.0` أو في `headless mode`. لا يتطلب الاستغلال أي تفاعل من قبل المستخدم.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.