parisneo/lollms में असुरक्षित डायरेक्ट ऑब्जेक्ट रेफरेंस (IDOR)

parisneo/lollms के संस्करण 2.2.0 तक में एक गंभीर सुरक्षा भेद्यता की पहचान की गई है। इस भेद्यता को CVSS स्कोर 8.3 के साथ रेट किया गया है, जो प्रमाणित उपयोगकर्ताओं को अन्य उपयोगकर्ताओं के मित्र अनुरोधों को स्वीकार या अस्वीकार करने की अनुमति देता है। backend/routers/friends.py में respondrequest() फ़ंक्शन में उचित प्राधिकरण जांच का अभाव है, जो असुरक्षित प्रत्यक्ष ऑब्जेक्ट संदर्भ (IDOR) हमलों को सक्षम बनाता है। एक हमलावर एप्लिकेशन के भीतर संबंधों की गोपनीयता और सुरक्षा से समझौता करते हुए अन्य उपयोगकर्ताओं की ओर से कार्य करने के लिए /api/friends/requests/{friendshipid} एंडपॉइंट को हेरफेर कर सकता है। संबंध सदस्यता या प्राप्तकर्ता की पहचान को सत्यापित करने में विफलता इस हेरफेर को सक्षम बनाती है। इस जोखिम को कम करने के लिए संस्करण 2.2.0 या उच्चतर में अपग्रेड करने की दृढ़ता से अनुशंसा की जाती है।

Applications utilizing parisneo/lollms in their backend and exposing friend request functionality are at risk. This includes social networking platforms, collaborative tools, or any application where users manage connections with others. Specifically, deployments using older versions of lollms (0.0.0–2.2.0) are highly vulnerable.

• python / lollms:

# Check for vulnerable versions
import subprocess
result = subprocess.run(['pip', 'show', 'parisneo-lollms'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip()
    if version <= '2.2.0':
        print('Vulnerable version detected!')

• generic web:

curl -I https://your-lollms-instance.com/api/friends/requests/123 | grep -i 'WWW-Authenticate'

• generic web:

# Check access logs for suspicious requests to /api/friends/requests/{friendship_id} from different user IDs
grep '/api/friends/requests/[0-9]+' /var/log/nginx/access.log | grep 'user_id=[0-9]+'

1. 2026-03-29Disclosure

   disclosure

1. आरक्षित2026-01-01
2. प्रकाशित2026-03-29
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-06

इस भेद्यता का समाधान parisneo/lollms को संस्करण 2.2.0 या उच्चतर में अपग्रेड करना है। यह संस्करण respondrequest() फ़ंक्शन में प्राधिकरण दोष को ठीक करता है, केवल अधिकृत उपयोगकर्ताओं को मित्र अनुरोधों के साथ इंटरैक्ट करने की अनुमति देने के लिए उचित जांच को लागू करता है। एक अस्थायी उपाय के रूप में, /api/friends/requests/{friendshipid} एंडपॉइंट तक पहुंच को उन्नत विशेषाधिकार वाले उपयोगकर्ताओं तक सीमित करें या हेरफेर के प्रयासों का पता लगाने और रोकने के लिए एक ऑडिटिंग सिस्टम लागू करें। संवेदनशील डेटा को संभालने वाले सभी कार्यों, विशेष रूप से उपयोगकर्ता संबंधों से संबंधित कार्यों के लिए एक्सेस नियंत्रण की समीक्षा और मजबूत करना महत्वपूर्ण है।