CVE-2024-2548

Versões do parisneo/lollms-webui anteriores à 9.5

Existe uma vulnerabilidade de traversal de caminho no aplicativo parisneo/lollms-webui, especificamente nos arquivos lollms core/lollms/server/endpoints/lollms binding files server.py e lollms core/lollms/security.py. Devido à validação inadequada de caminhos de arquivos entre ambientes Windows e Linux usando Path(path).is absolute(), invasores podem explorar essa falha para ler qualquer arquivo no sistema. A vulnerabilidade é acionada quando um invasor envia uma solicitação especialmente criada para o endpoint “/user infos/{path:path}”, permitindo a leitura de arquivos arbitrários, conforme demonstrado com o arquivo win.ini.

Para versões anteriores à 9.5, atualize para a versão 9.5 para resolver o problema.

Como solução temporária, considere restringir o acesso ao endpoint /user infos/{path:path} até que a atualização seja aplicada.

Evite usar o parâmetro path no endpoint da API afetado até que o problema seja resolvido.