CVE-2024-10019

Nome do Software Vulnerável e Versões Afetadas parisneo/lollms-webui versão V12 (Strawberry)

Descrição Uma vulnerabilidade na função start app server permite traversal de caminho e injeção de comandos do sistema operacional. A função não sanitiza adequadamente o parâmetro app name, permitindo que um atacante faça upload de um arquivo server.py malicioso e execute código arbitrário explorando a vulnerabilidade de traversal de caminho.

Recomendações Para o parisneo/lollms-webui versão V12 (Strawberry), como solução temporária, considere desabilitar a função start app server até que uma correção esteja disponível. Restrinja o acesso ao parâmetro app name para minimizar o risco de exploração. Evite usar o parâmetro app name na função afetada até que o problema seja resolvido.