CVE-2024-1873 in lollms-webui
Zusammenfassung
von VulDB • 04.07.2026
In parisneo/lollms-webui besteht eine Schwachstelle für Path Traversal- und Denial-of-Service-Angriffe aufgrund eines exponierten `/select_database`-Endpunkts in der Version a9d16b0. Der Endpunkt verarbeitet Dateipfade unsachgemäß, sodass Angreifer absolute Pfade angeben können, wenn sie mit der `DiscussionsDB`-Instanz interagieren. Dieser Fehler ermöglicht es Angreifern, Verzeichnisse überall auf dem System zu erstellen, wo die Anwendung über entsprechende Berechtigungen verfügt, was potenziell zu einem Denial of Service führen kann, indem Verzeichnisse mit Namen kritischer Dateien, wie z. B. HTTPS-Zertifikatsdateien, erstellt werden und somit Serverstartfehler verursacht werden. Darüber hinaus können Angreifer den Datenbankpfad manipulieren, was zum Verlust von Kundendaten führt, da der Dateistandort ständig an einen vom Angreifer kontrollierten Ort geändert wird, wodurch die Daten im gesamten Dateisystem verstreut und eine Wiederherstellung erschwert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.