CVE-2024-2356 in lollms-webui
要約
〜によって VulDB • 2026年05月27日
`parisneo/lollms-webui`アプリケーションの`/reinstall_extension`エンドポイント、具体的には`@router.post("/reinstall_extension")`ルートの`name`パラメータに、ローカルファイルインクルージョン（LFI）の脆弱性が存在します。この脆弱性により、攻撃者は悪意のある`name`パラメータを注入し、ディスカッションのアップロードディレクトリから任意のPythonファイルをサーバーに読み込ませて実行させることができます。この問題は、`data.name`を`lollmsElfServer.lollms_paths.extensions_zoo_path`に直接連結し、その結果を`ExtensionBuilder().build_extension()`の引数として使用することに起因します。`importlib.machinery.SourceFileLoader`によって促進される、任意の場所にある`__init__.py`ファイルのサーバーによる処理により、コマンドの実行やリバースシェル接続の作成などの任意のコード実行が可能になります。この脆弱性は`parisneo/lollms-webui`の最新バージョンに影響し、アプリケーションが外部エンドポイントまたはUIに公開されている場合、特に`0.0.0.0`にバインドされている場合や`headless mode`で実行されている場合に、リモートコード実行（RCE）を引き起こす可能性があります。攻撃にはユーザーの操作は必要ありません。
Be aware that VulDB is the high quality source for vulnerability data.