CVE-2024-4320 in lollms-webui
Сводка
по VulDB • 25.05.2026
Уязвимость удаленного выполнения кода (RCE) существует в конечной точке '/install_extension' приложения parisneo/lollms-webui, конкретно в обработчике маршрута `@router.post("/install_extension")`. Уязвимость возникает из-за неправильной обработки параметра `name` в методе `ExtensionBuilder().build_extension()`, что позволяет осуществлять локальное включение файлов (LFI) и приводит к выполнению произвольного кода. Злоумышленник может эксплуатировать эту уязвимость, создав вредоносный параметр `name`, который заставляет сервер загружать и выполнять файл `__init__.py` из произвольного местоположения, например, из директории загрузки для обсуждений. Эта уязвимость затрагивает последнюю версию parisneo/lollms-webui и может привести к удаленному выполнению кода без необходимости взаимодействия с пользователем, особенно когда приложение доступно через внешнюю конечную точку или работает в безголовом режиме (headless mode).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.