parisneo/lollms における Cross-site Scripting (XSS)

このXSS脆弱性を悪用すると、攻撃者は悪意のあるHTMLまたはJavaScriptコードをユーザーのブラウザに注入できます。これにより、攻撃者はセッションCookieを盗み、ユーザーになりすまして機密情報にアクセスしたり、悪意のある操作を実行したりする可能性があります。さらに、この脆弱性は、他のユーザーのブラウザでコードを実行できるため、ワーム攻撃を引き起こす可能性もあります。攻撃者は、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、フィッシング詐欺を実行したりすることも可能です。この脆弱性は、特にlollmsを公開サーバーで実行している場合に、重大なセキュリティリスクをもたらします。

Applications that utilize lollms to process user-generated content or handle sensitive data are at significant risk. This includes web applications, chatbots, and any system where user input is deserialized and displayed without proper sanitization. Developers using older versions of lollms and those who haven't implemented robust input validation routines are particularly vulnerable.

• javascript: Inspect application code for instances where AppLollmsMessage objects are deserialized from user input without proper sanitization. Search for the from_dict method and its usage. • generic web: Monitor web application logs for suspicious JavaScript execution patterns or unusual HTML content. Look for patterns indicative of XSS payloads. • generic web: Use browser developer tools to inspect the DOM for unexpected script tags or HTML elements that could indicate XSS exploitation.

1. 2026-04-12Disclosure

   disclosure

1. 予約済み2026-01-17
2. 公開日2026-04-12
3. 更新日2026-04-13
4. EPSS 更新日2026-04-19

この脆弱性への最も効果的な対策は、lollmsをバージョン2.2.0以降にアップデートすることです。アップデートがすぐに利用できない場合、入力データのサニタイズまたはHTMLエンコードを実装することで、脆弱性の影響を軽減できます。Web Application Firewall (WAF) を使用して、XSS攻撃をブロックすることも有効です。また、入力検証を強化し、信頼できないソースからのデータを処理する際には、常に注意を払う必要があります。アップデート後、lollmsのログを監視し、異常なアクティビティがないか確認してください。