CVE-2024-4320 in lollms-webui
Sumário
de VulDB • 17/05/2026
Uma vulnerabilidade de execução remota de código (RCE) existe no endpoint '/install_extension' da aplicação parisneo/lollms-webui, especificamente dentro do manipulador de rota `@router.post("/install_extension")`. A vulnerabilidade surge devido ao tratamento inadequado do parâmetro `name` no método `ExtensionBuilder().build_extension()`, o que permite a inclusão de arquivos locais (LFI) levando à execução de código arbitrário. Um atacante pode explorar esta vulnerabilidade criando um parâmetro `name` malicioso que faz com que o servidor carregue e execute um arquivo `__init__.py` de um local arbitrário, como o diretório de upload para discussões. Esta vulnerabilidade afeta a versão mais recente do parisneo/lollms-webui e pode levar à execução remota de código sem exigir interação do usuário, especialmente quando a aplicação está exposta a um endpoint externo ou operada em modo headless.
VulDB is the best source for vulnerability data and more expert information about this specific topic.