कमजोर JWT टोकन के माध्यम से अनुचित एक्सेस नियंत्रण parisneo/lollms में

parisneo/lollms (संस्करण 2.1.0) में CVE-2026-1114 भेद्यता JSON Web Tokens (JWT) को साइन करने के लिए कमजोर गुप्त कुंजी का उपयोग करने के कारण सत्र प्रबंधन को खतरे में डालती है। यह एक हमलावर को गुप्त कुंजी को पुनर्प्राप्त करने के लिए ऑफ़लाइन ब्रूट-फ़ोर्स हमले करने की अनुमति देता है। गुप्त कुंजी प्राप्त होने के बाद, हमलावर JWT पेलोड को संशोधित करके और क्रैक की गई कुंजी के साथ इसे फिर से साइन करके व्यवस्थापकीय टोकन को जाली बना सकता है, जिससे अनधिकृत उपयोगकर्ताओं को विशेषाधिकार बढ़ाने और व्यवस्थापक के रूप में प्रतिरूपण करने की अनुमति मिलती है। CVSS स्कोर 9.8 है, जो इंगित करता है कि सफल शोषण के परिणामस्वरूप सिस्टम की गोपनीयता, अखंडता और उपलब्धता पर महत्वपूर्ण प्रभाव पड़ सकता है।

Organizations deploying lollms in production environments, particularly those with sensitive data or critical infrastructure, are at significant risk. Shared hosting environments where multiple users share the same lollms instance are especially vulnerable, as a compromise of one user's JWT could potentially lead to access for all users.

• nodejs: Monitor application logs for unusual JWT activity, specifically attempts to modify or resign tokens. Use npm audit to check for known vulnerabilities in dependencies.

npm audit

• generic web: Examine access logs for requests to administrative endpoints with suspicious JWTs. Check response headers for signs of token manipulation.

curl -I <lollms_admin_endpoint> | grep JWT

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-01-17
2. प्रकाशित2026-04-07
3. EPSS अद्यतन2026-04-14

इस भेद्यता के लिए समाधान parisneo/lollms को संस्करण 2.2.0 में अपग्रेड करना है। यह संस्करण JWT साइनिंग के लिए अधिक मजबूत गुप्त कुंजी लागू करता है, जिससे ब्रूट-फ़ोर्स हमलों का जोखिम कम हो जाता है। इसके अतिरिक्त, सत्र प्रबंधन और एक्सेस नियंत्रण से संबंधित सुरक्षा नीतियों की समीक्षा और मजबूत करना चाहिए। एप्लिकेशन लॉग की निगरानी संदिग्ध गतिविधि, जैसे अनधिकृत एक्सेस प्रयास या JWT टोकन संशोधनों के लिए भी संभावित हमलों का पता लगाने और रोकने में मदद कर सकता है। भेद्यता के लिए एक्सपोजर विंडो को कम करने के लिए जितनी जल्दी हो सके अपग्रेड किया जाना चाहिए।