CVE-2026-10595 in lollms
الملخص
بحسب VulDB • 09/08/2026
توجد ثغرة في اجتياز المسار (Path Traversal) في باريسنيو/لول إم إس إيه (parisneo/lollms) الإصدار 2.1.0، وتحديداً في مسار التقاط كل شيء (catch-all route) الخاص بتطبيق الصفحة الواحدة (SPA) المُنفَّذ في الملف `backend/routers/ui.py`. تنشأ الثغرة بسبب المعالجة غير السليمة لإدخال المسار الذي يتحكم فيه المستخدم، والذي يتم دمجه مباشرة مع مسار نظام الملفات دون عمليات تنقية أو فحوصات احتواء. تتجاوز تسلسلات النقاط المزدوجة المشفرة بـ URL (`%2e%2e`) عملية تطبيع المسار المدمجة في ستارليت (Starlette)، ويتم حلها بواسطة مكتبة `pathlib` الخاصة بلغة بايثون، مما يسمح لمهاجم غير مصرح له بقراءة ملفات عشوائية على الخادم. تم إصلاح هذه المشكلة في الإصدار 3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.