CVE-2024-2624

Versões do parisneo/lollms-webui anteriores à 9.4

Existe uma vulnerabilidade de traversal de caminho e upload arbitrário de arquivos no aplicativo parisneo/lollms-webui, especificamente no endpoint /switch personal path em ./lollms-webui/lollms core/lollms/server/endpoints/lollms user.py. A vulnerabilidade surge devido à sanitização insuficiente da entrada fornecida pelo usuário para o parâmetro path, permitindo que um invasor especifique caminhos arbitrários no sistema de arquivos. Essa falha permite uploads diretos de arquivos arbitrários, vazamento de personal data e sobrescrita de configurações em lollms-webui->configs, explorando o diretório com o mesmo nome em personal data. A exploração bem-sucedida pode levar à divulgação de informações confidenciais, uploads não autorizados de arquivos e, potencialmente, à execução remota de código por meio da sobrescrita de arquivos de configuração críticos.

Atualize para a versão 9.4 para corrigir a vulnerabilidade de traversal de caminho e proteger contra violações de dados e acesso não autorizado. Como solução temporária, considere restringir o acesso ao endpoint @router.get(“/switch personal path”) até que o problema seja resolvido. Evite usar o parâmetro path no endpoint da API afetado até que o problema seja resolvido.