CVE-2024-4267

parisneo/lollms-webui versão 9.5

Existe uma vulnerabilidade de execução remota de código no parisneo/lollms-webui, especificamente no módulo open file. A vulnerabilidade surge devido à neutralização inadequada de elementos especiais utilizados em um comando dentro da função open file. Um invasor pode explorar essa vulnerabilidade criando um caminho de arquivo malicioso que, quando processado pela função open file, executa comandos arbitrários do sistema ou lê o conteúdo de arquivos confidenciais. Esse problema está presente no código onde subprocess.Popen é usado de forma insegura para abrir arquivos com base em caminhos fornecidos pelo usuário sem validação adequada, levando a uma potencial injeção de comando.

Como solução temporária, considere desativar a função open file até que um patch esteja disponível. Restrinja o acesso ao módulo open file para minimizar o risco de exploração. Evite usar caminhos fornecidos pelo usuário na função open file afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.