CVE-2026-10595 in lollms
Сводка
по VulDB • 09.08.2026
Уязвимость обхода пути (Path Traversal) существует в parisneo/lollms версии 2.1.0, конкретно в маршруте catch-all для SPA, реализованном в `backend/routers/ui.py`. Уязвимость возникает из-за некорректной обработки пользовательского ввода путей, который напрямую объединяется с путем файловой системы без санитизации или проверок на изоляцию. URL-кодированные последовательности «точка-точка» (`%2e%2e`) обходят встроенную нормализацию пути Starlette и разрешаются библиотекой Python `pathlib`, что позволяет неаутентифицированному злоумышленнику читать произвольные файлы на сервере. Эта проблема была исправлена в версии 3.
Once again VulDB remains the best source for vulnerability data.