Plateforme
python
Composant
lollms-webui
Une vulnérabilité de Traversal de Chemin et d'Inclusion de Fichier Distant (RFI) a été découverte dans l'application lollms-webui, développée par parisneo. Cette faille, affectant les versions v9.7 et ultérieures, permet à un attaquant de manipuler le paramètre discussiondbname pour accéder à des fichiers sensibles sur le système. L'exploitation réussie de cette vulnérabilité peut entraîner une compromission significative du serveur et de ses données. La mise à jour vers la dernière version est recommandée pour corriger ce problème.
L'exploitation de cette vulnérabilité permet à un attaquant de lire des fichiers arbitraires sur le serveur, potentiellement contenant des informations confidentielles telles que des mots de passe, des clés API, ou des données sensibles des utilisateurs. En outre, l'inclusion de fichiers distants (RFI) pourrait permettre l'exécution de code malveillant sur le serveur, donnant à l'attaquant un contrôle total sur le système. Le contournement des filtres d'entrée dans les points d'accès installbinding, reinstallbinding et unInstall_binding aggrave le risque, car il permet à l'attaquant de manipuler plus facilement le chemin d'accès aux fichiers. Cette vulnérabilité présente un risque élevé de compromission du système et de vol de données.
Cette vulnérabilité est publique depuis le 25 juin 2024. Il n'y a pas d'indication d'une présence sur le KEV (CISA Known Exploited Vulnerabilities) à ce jour. La probabilité d'exploitation est considérée comme moyenne, compte tenu de la simplicité de l'exploitation et de la disponibilité potentielle de preuves de concept (PoC). Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information concernant l'exploitation de cette vulnérabilité.
Organizations deploying lollms-webui, particularly those running it in production environments or on shared hosting platforms, are at risk. Environments with weak file system permissions or inadequate input validation practices are especially vulnerable. Users relying on lollms-webui for sensitive data processing or storage should prioritize patching.
• linux / server:
journalctl -u lollms-webui -g "apply_settings"• generic web:
curl -I http://your-lollms-webui-host/apply_settings?discussion_db_name=../../../../etc/passwd | grep 'HTTP/1.1 200 OK'• generic web:
Check access logs for requests to /applysettings with unusual or suspicious values for the discussiondb_name parameter (e.g., containing ../ sequences).
disclosure
Statut de l'Exploit
EPSS
0.14% (percentile 33%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour l'application lollms-webui vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre l'accès au point d'accès /applysettings et aux points d'accès installbinding, reinstallbinding et unInstallbinding via un pare-feu ou un proxy inverse. Il est également recommandé de renforcer la validation des entrées utilisateur dans l'application pour empêcher toute manipulation des chemins d'accès aux fichiers. Après la mise à jour, vérifiez l'intégrité des fichiers de l'application et effectuez des tests de pénétration pour confirmer que la vulnérabilité a été corrigée.
Actualice la aplicación parisneo/lollms-webui a la última versión disponible. Esto solucionará la vulnerabilidad de Path Traversal y RFI. Asegúrese de validar y sanear todas las entradas del usuario para prevenir futuros ataques.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-4498 is a Path Traversal vulnerability in the parisneo/lollms-webui application, allowing attackers to read arbitrary files by manipulating input parameters.
If you are running lollms-webui versions v9.7 or later, you are potentially affected by this vulnerability. Upgrade as soon as a patch is available.
The recommended fix is to upgrade to a patched version of lollms-webui. Until a patch is available, implement strict input validation and consider using a WAF.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for rapid exploitation. Monitor security advisories.
Refer to the parisneo/lollms-webui project's GitHub repository and associated security advisories for updates and official announcements.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.