CVE-2024-2356 in lollms-webui
요약
\~에 의해 VulDB • 2026. 06. 18.
parisneo/lollms-webui 애플리케이션의 `/reinstall_extension` 엔드포인트에는 로컬 파일 포함(Local File Inclusion, LFI) 취약점이 존재합니다. 이는 구체적으로 `@router.post("/reinstall_extension")` 라우트의 `name` 파라미터 내에서 발생합니다. 공격자는 악성 `name` 파라미터를 주입하여 서버가 대화용 업로드 디렉토리에서 임의의 Python 파일을 로드하고 실행하도록 할 수 있습니다. 이 문제는 `data.name`이 `lollmsElfServer.lollms_paths.extensions_zoo_path`에 직접 연결(concatenation)되어 `ExtensionBuilder().build_extension()`의 인자로 사용됨으로써 발생합니다. 또한, `importlib.machinery.SourceFileLoader`를 통해 임의 위치에서 `__init__.py` 파일을 처리하는 서버의 동작은 명령어 실행이나 리버스 셸(reverse-shell) 연결 생성과 같은 임의 코드 실행을 가능하게 합니다. 이 취약점은 parisneo/lollms-webui 최신 버전에 영향을 미치며, 애플리케이션이 외부 엔드포인트나 UI에 노출되어 있을 때(특히 `0.0.0.0`에 바인딩되거나 헤드리스 모드(headless mode)일 경우), 원격 코드 실행(RCE)으로 이어질 수 있습니다. 공격을 위해 사용자 상호작용은 필요하지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.