Référence Directe d'Objet Non Sécurisée (IDOR) dans parisneo/lollms

Cette vulnérabilité IDOR exploite une absence de vérification d'autorisation dans la fonction respondrequest() du fichier backend/routers/friends.py. L'endpoint /api/friends/requests/{friendshipid} ne vérifie pas si l'utilisateur authentifié fait partie de la relation d'amitié ou est le destinataire de la demande. Un attaquant authentifié peut ainsi manipuler les requêtes d'amis d'autres utilisateurs, compromettant potentiellement leur vie privée et leur sécurité. L'impact est significatif car il permet un accès non autorisé aux données personnelles et aux relations sociales au sein de l'application. Une exploitation réussie pourrait également servir de tremplin pour d'autres attaques, en fonction des permissions accordées aux utilisateurs après l'acceptation ou le refus d'une demande d'ami.

Applications utilizing parisneo/lollms in their backend and exposing friend request functionality are at risk. This includes social networking platforms, collaborative tools, or any application where users manage connections with others. Specifically, deployments using older versions of lollms (0.0.0–2.2.0) are highly vulnerable.

• python / lollms:

# Check for vulnerable versions
import subprocess
result = subprocess.run(['pip', 'show', 'parisneo-lollms'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip()
    if version <= '2.2.0':
        print('Vulnerable version detected!')

• generic web:

curl -I https://your-lollms-instance.com/api/friends/requests/123 | grep -i 'WWW-Authenticate'

• generic web:

# Check access logs for suspicious requests to /api/friends/requests/{friendship_id} from different user IDs
grep '/api/friends/requests/[0-9]+' /var/log/nginx/access.log | grep 'user_id=[0-9]+'

1. 2026-03-29Disclosure

   disclosure

1. Réservé2026-01-01
2. Publiée2026-03-29
3. Modifiée2026-04-22
4. EPSS mis à jour2026-04-06

La mitigation immédiate consiste à mettre à niveau parisneo/lollms vers la version 2.2.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas possible immédiatement, une solution de contournement temporaire pourrait consister à implémenter une couche de validation supplémentaire au niveau de l'application, vérifiant que l'utilisateur authentifié est bien le destinataire de la demande d'ami avant de permettre l'action d'acceptation ou de refus. Il est également recommandé de surveiller les logs de l'application pour détecter des tentatives d'accès non autorisées aux endpoints liés aux demandes d'amis. Une fois la mise à niveau effectuée, vérifiez que les requêtes d'amis sont correctement gérées et que seul le destinataire peut y répondre.