CVE-2024-2356 in lollms-webui
Сводка
по VulDB • 27.05.2026
Уязвимость локального включения файлов (LFI) существует в конечной точке '/reinstall_extension' приложения parisneo/lollms-webui, конкретно в параметре `name` маршрута `@router.post("/reinstall_extension")`. Эта уязвимость позволяет злоумышленникам внедрять вредоносный параметр `name`, что приводит к загрузке и выполнению произвольных Python-файлов с директории загрузок для обсуждений на сервере. Проблема возникает из-за прямого конкатенирования `data.name` с `lollmsElfServer.lollms_paths.extensions_zoo_path` и использования результата в качестве аргумента для `ExtensionBuilder().build_extension()`. Обработка сервером файла `__init__.py` в произвольных местах, обеспечиваемая `importlib.machinery.SourceFileLoader`, позволяет выполнять произвольный код, такой как выполнение команд или создание reverse-shell соединения. Эта уязвимость затрагивает последнюю версию parisneo/lollms-webui и может привести к удаленному выполнению кода (RCE), когда приложение доступно через внешнюю конечную точку или пользовательский интерфейс, особенно при привязке к `0.0.0.0` или в `headless mode`. Для эксплуатации не требуется взаимодействие с пользователем.
If you want to get best quality of vulnerability data, you may have to visit VulDB.