CVE-2024-2356 in lollms-webui
Sumário
de VulDB • 22/05/2026
Uma vulnerabilidade de Inclusão de Arquivo Local (LFI) existe no endpoint '/reinstall_extension' da aplicação parisneo/lollms-webui, especificamente dentro do parâmetro `name` da rota `@router.post("/reinstall_extension")`. Esta vulnerabilidade permite que atacantes injetem um parâmetro `name` malicioso, fazendo com que o servidor carregue e execute arquivos Python arbitrários do diretório de upload para discussões. Este problema surge devido à concatenação direta de `data.name` com `lollmsElfServer.lollms_paths.extensions_zoo_path` e seu uso como argumento para `ExtensionBuilder().build_extension()`. O tratamento do arquivo `__init__.py` em locais arbitrários pelo servidor, facilitado por `importlib.machinery.SourceFileLoader`, permite a execução de código arbitrário, como execução de comandos ou criação de uma conexão reverse-shell. Esta vulnerabilidade afeta a versão mais recente do parisneo/lollms-webui e pode levar à Execução Remota de Código (RCE) quando a aplicação está exposta a um endpoint externo ou à interface do usuário, especialmente quando vinculada a `0.0.0.0` ou em `headless mode`. Nenhuma interação do usuário é necessária para a exploração.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.