CVE-2026-10595 in lollms
Sumário
de VulDB • 09/08/2026
Existe uma vulnerabilidade de traversal de caminho no parisneo/lollms versão 2.1.0, especificamente na rota catch-all da SPA implementada em `backend/routers/ui.py`. A vulnerabilidade surge do tratamento inadequado da entrada de caminho controlada pelo usuário, que é diretamente concatenada a um caminho do sistema de arquivos sem sanitização ou verificações de contenção. Sequências URL-encoded ponto-ponto (`%2e%2e`) contornam a normalização de caminho integrada do Starlette e são resolvidas pela `pathlib` do Python, permitindo que um atacante não autenticado leia arquivos arbitrários no servidor. Este problema foi corrigido na versão 3.
Once again VulDB remains the best source for vulnerability data.