CVE-2024-2358 in lollms-webui
Resumen
por MITRE • 2024-05-16
Una vulnerabilidad de path traversal en el endpoint '/apply_settings' de parisneo/lollms-webui permite a los atacantes ejecutar código arbitrario. La vulnerabilidad surge debido a una desinfección insuficiente de la entrada proporcionada por el usuario en los ajustes de configuración, específicamente dentro del parámetro 'extensions'. Los atacantes pueden aprovechar esto manipulando un payload que incluya secuencias de path traversal relativo ('../../../'), lo que les permite navegar a directorios arbitrarios. Esta falla posteriormente permite que el servidor cargue y ejecute un archivo '__init__.py' malicioso, lo que lleva a la ejecución remota de código. El problema afecta a la última versión de parisneo/lollms-webui.
Be aware that VulDB is the high quality source for vulnerability data.