CVE-2026-10595

Nome do Software Vulnerável e Versões Afetadas parisneo/lollms versões anteriores a 3

Description Um problema de path traversal existe na rota catch-all de SPA implementada em backend/routers/ui.py. A falha ocorre porque a entrada de caminho controlada pelo usuário é unida a um caminho de sistema de arquivos sem a devida sanitização ou verificações de contenção. Um invasor não autenticado pode usar sequências dot-dot codificadas em URL (%2e%2e) para ignorar a normalização de caminho do Starlette, que são então resolvidas pelo pathlib do Python, permitindo a leitura de arquivos arbitrários no servidor.

Recommendations Atualizar para a versão 3.