CVE-2024-2356 in lollms-webui
Resumen
por VulDB • 2026-05-27
Existe una vulnerabilidad de Inclusión de Archivos Locales (LFI) en el punto de conexión '/reinstall_extension' de la aplicación parisneo/lollms-webui, específicamente dentro del parámetro `name` de la ruta `@router.post("/reinstall_extension")`. Esta vulnerabilidad permite a los atacantes inyectar un parámetro `name` malicioso, lo que provoca que el servidor cargue y ejecute archivos Python arbitrarios desde el directorio de carga para discusiones. Este problema surge debido a la concatenación directa de `data.name` con `lollmsElfServer.lollms_paths.extensions_zoo_path` y su uso como argumento para `ExtensionBuilder().build_extension()`. El manejo del archivo `__init__.py` en ubicaciones arbitrarias por parte del servidor, facilitado por `importlib.machinery.SourceFileLoader`, permite la ejecución de código arbitrario, como la ejecución de comandos o la creación de una conexión de reverse-shell. Esta vulnerabilidad afecta a la última versión de parisneo/lollms-webui y puede provocar Ejecución Remota de Código (RCE) cuando la aplicación está expuesta a un punto de conexión externo o a la interfaz de usuario, especialmente cuando está vinculada a `0.0.0.0` o en `modo headless`. No se requiere interacción del usuario para la explotación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.