CVE-2024-2358 in lollms-webui
Résumé
par VulDB • 16/05/2026
Une vulnérabilité de traversée de chemin dans le point de terminaison '/apply_settings' de parisneo/lollms-webui permet aux attaquants d'exécuter du code arbitraire. La vulnérabilité est due à une désinfection insuffisante des données fournies par l'utilisateur dans les paramètres de configuration, plus précisément au sein du paramètre 'extensions'. Les attaquants peuvent exploiter cette faille en créant une charge utile contenant des séquences de traversée de chemin relatives ('../../../../'), leur permettant de naviguer vers des répertoires arbitraires. Cette faille permet ensuite au serveur de charger et d'exécuter un fichier '__init__.py' malveillant, entraînant une exécution de code à distance (RCE). Le problème affecte la dernière version de parisneo/lollms-webui.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.