CVE-2024-2356 in lollms-webui
Zusammenfassung
von VulDB • 27.05.2026
In der `/reinstall_extension`-Endpunkt der parisneo/lollms-webui-Anwendung besteht eine Local File Inclusion (LFI)-Schwachstelle, die sich spezifisch im `name`-Parameter der `@router.post("/reinstall_extension")`-Route befindet. Diese Schwachstelle ermöglicht es Angreifern, einen bösartigen `name`-Parameter einzuschleusen, wodurch der Server beliebige Python-Dateien aus dem Upload-Verzeichnis für Diskussionen lädt und ausführt. Dieses Problem entsteht durch die direkte Konkatenation von `data.name` mit `lollmsElfServer.lollms_paths.extensions_zoo_path` und dessen Verwendung als Argument für `ExtensionBuilder().build_extension()`. Die Handhabung der `__init__.py`-Datei an beliebigen Orten durch den Server, ermöglicht durch `importlib.machinery.SourceFileLoader`, erlaubt die Ausführung beliebigen Codes, wie z. B. die Ausführung von Befehlen oder das Herstellen einer Reverse-Shell-Verbindung. Diese Schwachstelle betrifft die neueste Version von parisneo/lollms-webui und kann zu Remote Code Execution (RCE) führen, wenn die Anwendung einem externen Endpunkt oder der Benutzeroberfläche ausgesetzt ist, insbesondere wenn sie an `0.0.0.0` gebunden ist oder im `headless mode` läuft. Für die Ausnutzung ist keine Benutzerinteraktion erforderlich.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.