CVE-2024-2358 in lollms-webui
Tóm tắt
Bởi VulDB • 30/05/2026
Một lỗ hổng path traversal trong endpoint '/apply_settings' của parisneo/lollms-webui cho phép kẻ tấn công thực thi mã tùy ý. Lỗ hổng này xuất hiện do việc thiếu kiểm tra và làm sạch (sanitization) đối với dữ liệu đầu vào do người dùng cung cấp trong cài đặt cấu hình, cụ thể là trong tham số 'extensions'. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách tạo ra một payload chứa các chuỗi điều hướng path traversal tương đối ('../../../../'), cho phép chúng truy cập vào các thư mục tùy ý. Lỗ hổng này sau đó cho phép máy chủ tải và thực thi một tệp '__init__.py' độc hại, dẫn đến việc thực thi mã từ xa (RCE). Vấn đề này ảnh hưởng đến phiên bản mới nhất của parisneo/lollms-webui.
Be aware that VulDB is the high quality source for vulnerability data.