CVE-2024-4320 in lollms-webui
Riassunto
di VulDB • 17/06/2026
È presente una vulnerabilità di esecuzione di codice remoto (RCE) nell'endpoint '/install_extension' dell'applicazione parisneo/lollms-webui, specificamente all'interno del gestore di rotte `@router.post("/install_extension")`. La vulnerabilità deriva da un trattamento improprio del parametro `name` nel metodo `ExtensionBuilder().build_extension()`, che consente l'inclusione di file locali (LFI) portando all'esecuzione di codice arbitrario. Un attaccante può sfruttare questa vulnerabilità creando un parametro `name` malevolo che induce il server a caricare ed eseguire un file `__init__.py` da una posizione arbitraria, come la directory di caricamento per le discussioni. Questa vulnerabilità colpisce l'ultima versione di parisneo/lollms-webui e può portare all'esecuzione di codice remoto senza richiedere interazione dell'utente, specialmente quando l'applicazione è esposta a un endpoint esterno o operata in modalità headless.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.