parisneo/lollms における不十分なセッションの有効期限

parisneo/lollms の CVE-2026-1163 は、セッションの適切な期限切れがないために重大なリスクをもたらします。パスワードリセット後、アプリケーションはアクティブなセッションを無効化せず、攻撃者が古いセッショントークンを使用し続けることを可能にします。これは、非アクティブ期間後のリクエストを拒否するロジックがないことと、デフォルトのセッション期間が 31 日と長すぎることに起因します。攻撃者は、ユーザーがパスワードをリセットした後でも、侵害されたアカウントへの永続的なアクセスを維持できる可能性があります。これにより、データ窃盗、情報操作、機密リソースへの不正アクセスにつながる可能性があります。不適切なセッション管理は、アプリケーションのセキュリティとユーザーデータの機密性を損なうものです。利用可能な修正プログラムがないため、軽減策を実装する緊急性が高まっています。

Organizations deploying lollms in production environments, particularly those with sensitive data or critical infrastructure managed through the application, are at risk. Shared hosting environments where multiple users share the same lollms instance are also particularly vulnerable, as a compromise of one account could potentially lead to persistent access for the attacker.

• python / server:

import requests
import time

# Replace with your lollms instance URL
base_url = "http://your-lollms-instance"

# Get a session token (assuming you have a valid login)
# This is a placeholder - replace with your actual authentication flow
session_token = "your_session_token"

# Reset the password (assuming you have the necessary credentials)
password_reset_url = f"{base_url}/password_reset"
password_reset_data = {"email": "[email protected]"}
response = requests.post(password_reset_url, json=password_reset_data)

# Wait a few seconds for the password reset to complete
time.sleep(5)

# Attempt to use the old session token after the password reset
headers = {"Authorization": f"Bearer {session_token}"}
response = requests.get(f"{base_url}/protected_resource", headers=headers)

if response.status_code == 200:
    print("Old session token still valid after password reset - Vulnerability Detected!")
else:
    print("Old session token invalidated - No Vulnerability Detected.")

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-01-18
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-15

CVE-2026-1163 の公式な修正プログラムが parisneo/lollms で利用できないため、軽減策を実装することを強くお勧めします。最初のステップは、デフォルトのセッション期間を大幅に短縮することです（例：15 分以内）。非アクティブに基づいたセッション期限切れメカニズムを実装することが重要です。定義されたアイドル時間後にリクエストを拒否する必要があります。さらに、パスワードがリセットされるたびに現在のセッションを強制的にログアウトする必要があります。セッションアクティビティを監視して異常なパターンを検出することで、潜在的な攻撃を検出して対応できます。追加のセキュリティレイヤーを追加するために、多要素認証 (MFA) の実装を検討してください。最新バージョン (リリースされている場合) でアプリケーションを最新の状態に保つことが不可欠です。