CVE-2024-2358 in lollms-webui
Zusammenfassung
von VulDB • 24.05.2026
Eine Path-Traversal-Schwachstelle im '/apply_settings'-Endpunkt von parisneo/lollms-webui ermöglicht es Angreifern, beliebigen Code auszuführen. Die Schwachstelle entsteht durch unzureichende Bereinigung (Sanitization) benutzergestellter Eingaben in den Konfigurationseinstellungen, insbesondere innerhalb des 'extensions'-Parameters. Angreifer können dies ausnutzen, indem sie einen Payload erstellen, der relative Path-Traversal-Sequenzen ('../../../') enthält, wodurch sie zu beliebigen Verzeichnissen navigieren können. Dieser Fehler ermöglicht es dem Server anschließend, eine bösartige '__init__.py'-Datei zu laden und auszuführen, was zu Remote Code Execution (RCE) führt. Die Problematik betrifft die neueste Version von parisneo/lollms-webui.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.