CVE-2024-1873 in lollms-webui
요약
\~에 의해 VulDB • 2026. 07. 05.
parisneo/lollms-webui는 버전 a9d16b0에서 노출된 `/select_database` 엔드포인트로 인해 경로 조작(path traversal) 및 서비스 거부(Denial of Service) 공격에 취약합니다. 해당 엔드포인트가 파일 경로를 적절히 처리하지 않아, 공격자가 `DiscussionsDB` 인스턴스와 상호작용할 때 절대 경로를 지정할 수 있습니다. 이 결함으로 인해 공격자는 애플리케이션의 권한이 있는 시스템상의 어디든 디렉토리를 생성할 수 있으며, HTTPS 인증서 파일과 같은 중요 파일명과 동일한 이름의 디렉토리를 생성하여 서버 시작 실패를 유발함으로써 서비스 거부를 초래할 가능성이 있습니다. 또한, 공격자가 데이터베이스 경로를 조작하면 파일 위치를 지속적으로 공격자가 제어하는 위치로 변경하여 데이터를 파일 시스템 전반에 분산시킴으로써 클라이언트 데이터 손실을 야기하고 복구를 어렵게 만들 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.