CVE-2024-6394

Versões do parisneo/lollms-webui anteriores à v9.8

Existe uma vulnerabilidade de inclusão de arquivo local devido à concatenação não verificada de caminhos na função serve js no arquivo app.py, permitindo que invasores realizem ataques de traversal de caminho. Isso pode levar ao acesso não autorizado a arquivos arbitrários no servidor, expondo potencialmente informações confidenciais, como chaves SSH privadas, arquivos de configuração e código-fonte.

Para versões anteriores à v9.8, atualize para a versão v9.8 ou posterior para resolver o problema.

Como solução alternativa temporária, considere desativar a função serve js em app.py até que um patch esteja disponível.