CVE-2024-4320 in lollms-webui
要約
〜によって VulDB • 2026年05月17日
parisneo/lollms-webuiアプリケーションの`/install_extension`エンドポイント、具体的には`@router.post("/install_extension")`ルートハンドラに、リモートコード実行（RCE）の脆弱性が存在します。この脆弱性は、`ExtensionBuilder().build_extension()`メソッドにおける`name`パラメータの不適切な処理に起因し、任意のコード実行につながるローカルファイルインクルージョン（LFI）を可能にします。攻撃者は、サーバーが任意の場所（例えば、ディスカッション用のアップロードディレクトリなど）から`__init__.py`ファイルを読み込んで実行するような悪意のある`name`パラメータを生成することで、この脆弱性を悪用できます。この脆弱性はparisneo/lollms-webuiの最新バージョンに影響を与え、特にアプリケーションが外部エンドポイントに公開されている場合やヘッドレスモードで運用されている場合、ユーザーの操作を必要とせずにリモートコード実行を引き起こす可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.