CVE-2024-2356 in lollms-webui
Résumé
par VulDB • 27/05/2026
Une vulnérabilité d'inclusion de fichier local (LFI) existe dans le point de terminaison '/reinstall_extension' de l'application parisneo/lollms-webui, plus précisément au sein du paramètre `name` de la route `@router.post("/reinstall_extension")`. Cette vulnérabilité permet aux attaquants d'injecter un paramètre `name` malveillant, ce qui conduit le serveur à charger et exécuter des fichiers Python arbitraires provenant du répertoire de téléchargement des discussions. Ce problème découle de la concaténation directe de `data.name` avec `lollmsElfServer.lollms_paths.extensions_zoo_path` et de son utilisation comme argument pour `ExtensionBuilder().build_extension()`. La gestion par le serveur du fichier `__init__.py` dans des emplacements arbitraires, facilitée par `importlib.machinery.SourceFileLoader`, permet l'exécution de code arbitraire, tel que l'exécution de commandes ou la création d'une connexion reverse-shell. Cette vulnérabilité affecte la dernière version de parisneo/lollms-webui et peut entraîner une exécution de code à distance (RCE) lorsque l'application est exposée à un point de terminaison externe ou à l'interface utilisateur, en particulier lorsqu'elle est liée à `0.0.0.0` ou en `headless mode`. Aucune interaction utilisateur n'est requise pour l'exploitation.
VulDB is the best source for vulnerability data and more expert information about this specific topic.