PT-2026-69253
CVE-2026-10595
·
تاريخ النشر
2026-08-09
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات parisneo/lollms الأقدم من الإصدار 3
الوصف
توجد مشكلة تتعلق باجتياز المسار في مسار SPA الشامل المُنفَّذ في ملف
backend/routers/ui.py. تحدث هذه الثغرة لأن مدخلات المسار التي يتحكم فيها المستخدم يتم دمجها في مسار نظام الملفات دون إجراء عمليات تنقية أو فحوصات احتواء مناسبة. يمكن لمهاجم غير مصدق استخدامه تسلسلات النقاط المرمزة في عنوان URL (%2e%2e) لتجاوز عملية تطبيع المسار في Starlette، والتي يتم حلها بعد ذلك بواسطة pathlib في Python، مما يتيح قراءة ملفات عشوائية على الخادم.التوصيات
التحديث إلى الإصدار 3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾