parisneo/lollmsにおける弱いJWTトークンによる不適切なアクセス制御

parisneo/lollms (バージョン 2.1.0) の CVE-2026-1114 は、JSON Web Tokens (JWT) の署名に脆弱な秘密鍵を使用しているため、セッション管理が損なわれています。これにより、攻撃者はオフラインブルートフォース攻撃を実行して秘密鍵を回復できます。秘密鍵を取得すると、攻撃者は JWT ペイロードを改ざんし、クラックした秘密鍵で再署名することで、管理者トークンを偽造できます。これにより、不正なユーザーは特権を昇格させ、管理者になりすますことができます。CVSS スコアが 9.8 であることは、成功した悪用がシステム機密性、完全性、可用性に重大な影響を与える可能性があることを示しています。

Organizations deploying lollms in production environments, particularly those with sensitive data or critical infrastructure, are at significant risk. Shared hosting environments where multiple users share the same lollms instance are especially vulnerable, as a compromise of one user's JWT could potentially lead to access for all users.

• nodejs: Monitor application logs for unusual JWT activity, specifically attempts to modify or resign tokens. Use npm audit to check for known vulnerabilities in dependencies.

npm audit

• generic web: Examine access logs for requests to administrative endpoints with suspicious JWTs. Check response headers for signs of token manipulation.

curl -I <lollms_admin_endpoint> | grep JWT

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-01-17
2. 公開日2026-04-07
3. EPSS 更新日2026-04-14

この脆弱性の解決策は、parisneo/lollms をバージョン 2.2.0 にアップグレードすることです。このバージョンでは、JWT 署名のためのより堅牢な秘密鍵が実装されており、ブルートフォース攻撃のリスクが軽減されます。さらに、セッション管理およびアクセス制御に関連するセキュリティポリシーを見直し、強化する必要があります。アプリケーションログを監視して、不正アクセス試行や JWT トークンの異常な変更など、疑わしい活動がないか確認することも、潜在的な攻撃を検出および防止するのに役立ちます。脆弱性への曝露期間を最小限に抑えるために、できるだけ早くアップグレードを実行する必要があります。