CVE-2024-2358 in lollms-webui
要約
〜によって VulDB • 2026年05月30日
parisneo/lollms-webuiの'/apply_settings'エンドポイントにパストラバーサルの脆弱性があり、攻撃者は任意のコードを実行できます。この脆弱性は、設定ファイル内のユーザー入力の検証が不十分であることに起因し、特に'extensions'パラメータで問題となります。攻撃者は相対パストラバーサルのシーケンス（'../../../../'）を含むペイロードを作成することで、任意のディレクトリに移動することが可能になります。この欠陥により、サーバーは悪意のある'__init__.py'ファイルを読み込み実行し、リモートコード実行（RCE）につながります。この問題は、parisneo/lollms-webuiの最新バージョンに影響を与えます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.