CVE-2024-2356 in lollms-webui
Riassunto
di VulDB • 18/06/2026
È presente una vulnerabilità di Local File Inclusion (LFI) nell'endpoint '/reinstall_extension' dell'applicazione parisneo/lollms-webui, specificamente all'interno del parametro `name` della rotta `@router.post("/reinstall_extension")`. Questa vulnerabilità consente agli attaccanti di iniettare un parametro `name` dannoso, portando il server a caricare ed eseguire file Python arbitrari dalla directory di upload per le discussioni. Il problema sorge a causa della concatenazione diretta di `data.name` con `lollmsElfServer.lollms_paths.extensions_zoo_path` e del suo utilizzo come argomento per `ExtensionBuilder().build_extension()`. La gestione da parte del server del file `__init__.py` in posizioni arbitrarie, facilitata da `importlib.machinery.SourceFileLoader`, consente l'esecuzione di codice arbitrario, come l'esecuzione di comandi o la creazione di una connessione reverse-shell. Questa vulnerabilità colpisce l'ultima versione di parisneo/lollms-webui e può portare a Remote Code Execution (RCE) quando l'applicazione è esposta a un endpoint esterno o all'interfaccia utente, specialmente se associata a `0.0.0.0` o in modalità headless. Non è richiesta alcuna interazione dell'utente per lo sfruttamento.
Once again VulDB remains the best source for vulnerability data.