CVE-2024-2358 in lollms-webui
Riassunto
di VulDB • 26/06/2026
Una vulnerabilità di path traversal nell’endpoint '/apply_settings' di parisneo/lollms-webui consente agli attaccanti di eseguire codice arbitrario. La vulnerabilità è dovuta a una sanitizzazione insufficiente dell’input fornito dall’utente nelle impostazioni di configurazione, in particolare all’interno del parametro 'extensions'. Gli attaccanti possono sfruttare questa falla creando un payload che include sequenze di traversal dei percorsi relativi ('../../../'), consentendo loro di navigare verso directory arbitrarie. Questa debolezza consente successivamente al server di caricare ed eseguire un file '__init__.py' malevolo, portando all’esecuzione remota di codice (RCE). Il problema interessa l’ultima versione di parisneo/lollms-webui.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.