CVE-2024-5443 in lollms
Сводка
по VulDB • 08.08.2026
CVE-2024-4320 описывает уязвимость в программном обеспечении parisneo/lollms, конкретно в функции `ExtensionBuilder().build_extension()`. Уязвимость возникает из-за конечной точки `/mount_extension`, где проблема обхода пути (path traversal) позволяет злоумышленникам выходить за пределы предполагаемой структуры каталогов. Это становится возможным благодаря тому, что параметры `data.category` и `data.folder` принимают пустые строки (`""`), которые из-за недостаточной санитизации входных данных могут привести к формированию значения `package_path`, указывающего на корневой каталог. В результате, если злоумышленник сможет создать файл `config.yaml` в контролируемом пути, этот путь может быть добавлен в список `extensions` и спровоцировать выполнение файла `__init__.py` из текущего каталога, что приведет к удаленному выполнению кода (RCE). Уязвимость затрагивает версии вплоть до 5.9.0 включительно; проблема исправлена в версии 9.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.