Path Traversal और RFI भेद्यता parisneo/lollms-webui में

यह भेद्यता हमलावरों को lollms-webui सर्वर पर मनमाना फ़ाइलों को पढ़ने या लिखने की अनुमति दे सकती है। एक हमलावर संवेदनशील कॉन्फ़िगरेशन फ़ाइलों, डेटाबेस क्रेडेंशियल्स या अन्य गोपनीय जानकारी तक पहुंच प्राप्त कर सकता है। इसके अतिरिक्त, यदि हमलावर वेब सर्वर द्वारा निष्पादित की जा सकने वाली फ़ाइलों को शामिल करने में सक्षम है, तो वे मनमाना कोड निष्पादित कर सकते हैं, जिससे सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह प्रमाणीकरण की आवश्यकता के बिना शोषण किया जा सकता है, जिससे यह व्यापक रूप से शोषण योग्य हो जाता है।

Organizations deploying lollms-webui, particularly those running it in production environments or on shared hosting platforms, are at risk. Environments with weak file system permissions or inadequate input validation practices are especially vulnerable. Users relying on lollms-webui for sensitive data processing or storage should prioritize patching.

• linux / server:

journalctl -u lollms-webui -g "apply_settings"

• generic web:

curl -I http://your-lollms-webui-host/apply_settings?discussion_db_name=../../../../etc/passwd | grep 'HTTP/1.1 200 OK'

• generic web: Check access logs for requests to /applysettings with unusual or suspicious values for the discussiondb_name parameter (e.g., containing ../ sequences).

1. 2024-06-25Disclosure

   disclosure

1. आरक्षित2024-05-04
2. प्रकाशित2024-06-25
3. संशोधित2024-08-01
4. EPSS अद्यतन2026-04-02

CVE-2024-4498 के लिए तत्काल शमन उपाय में lollms-webui को नवीनतम संस्करण में अपडेट करना शामिल है, जिसमें भेद्यता का समाधान शामिल है। यदि अपडेट करना तत्काल संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके /applysettings एंडपॉइंट के लिए इनपुट सत्यापन को कड़ा किया जा सकता है। यह सुनिश्चित करें कि discussiondb_name पैरामीटर में केवल अपेक्षित वर्णों की अनुमति है और फ़ाइल पथों को पारगमन करने के किसी भी प्रयास को अवरुद्ध किया जाए। इसके अतिरिक्त, फ़ाइल सिस्टम अनुमतियों को सीमित करने और वेब सर्वर द्वारा निष्पादित की जा सकने वाली फ़ाइलों की संख्या को कम करने पर विचार करें। अपडेट के बाद, यह सत्यापित करें कि भेद्यता अब मौजूद नहीं है।