parisneo/lollms tiene una vulnerabilidad de expiración de sesión insuficiente

La vulnerabilidad de expiración de sesión en lollms permite a un atacante, tras comprometer una cuenta, mantener acceso continuo a la misma, incluso después de que el usuario legítimo haya restablecido su contraseña. Esto se debe a que el sistema no invalida las sesiones activas después del restablecimiento, permitiendo al atacante seguir utilizando el token de sesión antiguo. El impacto potencial incluye el acceso no autorizado a datos sensibles, la manipulación de la información almacenada en la aplicación y la ejecución de acciones en nombre del usuario comprometido. Esta situación es particularmente grave en entornos donde lollms maneja información confidencial o se integra con otros sistemas críticos.

Organizations deploying lollms in production environments, particularly those with sensitive data or critical infrastructure managed through the application, are at risk. Shared hosting environments where multiple users share the same lollms instance are also particularly vulnerable, as a compromise of one account could potentially lead to persistent access for the attacker.

• python / server:

import requests
import time

# Replace with your lollms instance URL
base_url = "http://your-lollms-instance"

# Get a session token (assuming you have a valid login)
# This is a placeholder - replace with your actual authentication flow
session_token = "your_session_token"

# Reset the password (assuming you have the necessary credentials)
password_reset_url = f"{base_url}/password_reset"
password_reset_data = {"email": "[email protected]"}
response = requests.post(password_reset_url, json=password_reset_data)

# Wait a few seconds for the password reset to complete
time.sleep(5)

# Attempt to use the old session token after the password reset
headers = {"Authorization": f"Bearer {session_token}"}
response = requests.get(f"{base_url}/protected_resource", headers=headers)

if response.status_code == 200:
    print("Old session token still valid after password reset - Vulnerability Detected!")
else:
    print("Old session token invalidated - No Vulnerability Detected.")

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-01-18
2. Publicada2026-04-07
3. Modificada2026-04-08
4. EPSS actualizado2026-04-15

La mitigación principal para CVE-2026-1163 es actualizar lollms a una versión corregida que implemente la invalidación de sesiones después de un restablecimiento de contraseña y reduzca la duración predeterminada de la sesión. Si la actualización no es inmediatamente posible, se recomienda implementar medidas temporales como la invalidación manual de sesiones después de un restablecimiento de contraseña, aunque esto puede ser complejo de implementar. Además, se puede considerar la implementación de un sistema de monitoreo para detectar sesiones inusuales o prolongadas. Después de la actualización, verifique la correcta invalidación de sesiones tras un restablecimiento de contraseña mediante pruebas exhaustivas.