Platform
python
Component
parisneo/lollms-webui
Opgelost in
9.5
Deze kwetsbaarheid is een Path Traversal in de 'cybersecurity/codeguard' native personality van lollms-webui, versie 9.5 en lager. Een aanvaller kan door onvoldoende validatie van de 'codefolderpath' parameter in 'lollms-webui/zoos/personalitieszoo/cyber_security/codeguard/scripts/processor.py' willekeurige bestanden lezen en mogelijk overschrijven. Het is belangrijk om zo snel mogelijk te upgraden naar versie 9.5 om deze kwetsbaarheid te verhelpen.
De Path Traversal kwetsbaarheid stelt een aanvaller in staat om toegang te krijgen tot gevoelige bestanden buiten de beoogde directory. Dit kan leiden tot het blootleggen van configuratiebestanden, broncode, of andere vertrouwelijke informatie. In het ergste geval kan een aanvaller bestanden overschrijven, wat de integriteit van het systeem in gevaar brengt en mogelijk tot een volledige compromittering kan leiden. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij de toegang tot het bestandssysteem wordt misbruikt.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2024-06-06. Er zijn momenteel geen bekende actieve campagnes gericht op deze specifieke kwetsbaarheid, maar het is waarschijnlijk dat er in de toekomst proof-of-concept exploits beschikbaar komen. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database).
Organizations deploying lollms-webui, particularly those utilizing the 'cyber_security/codeguard' personality, are at risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a compromise of one user's instance could potentially lead to access to other users' data.
• linux / server:
find /opt/lollms-webui -name 'processor.py' -print0 | xargs -0 grep -i 'code_folder_path'• python / supply-chain:
Inspect the processor.py file within the lollms-webui/zoos/personalitieszoo/cybersecurity/codeguard/scripts/ directory for the vulnerable process_folder function and lack of proper input sanitization.
• generic web:
Attempt to access files outside the intended directory using path traversal sequences in the URL (e.g., /zoos/personalitieszoo/cybersecurity/codeguard/../../../../etc/passwd).
disclosure
Exploit Status
EPSS
0.79% (74% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar versie 9.5 van lollms-webui, waarin deze kwetsbaarheid is verholpen. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge inputvalidatie op de 'codefolderpath' parameter. Dit kan door middel van whitelisting van toegestane bestandsnamen en paden, of door het gebruik van een veilige padconstructie die ervoor zorgt dat de gebruiker geen paden buiten de beoogde directory kan specificeren. Controleer ook de configuratie van de webserver om directory listing uit te schakelen.
Actualice a una versión posterior a la 9.5. La vulnerabilidad se encuentra en la función 'process_folder' del archivo 'lollms-webui/zoos/personalities_zoo/cyber_security/codeguard/scripts/processor.py'. La actualización corrige la sanitización de la entrada 'code_folder_path' para evitar el recorrido de directorios.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-3322 is a Path Traversal vulnerability in parisneo/lollms-webui versions up to 9.5, allowing attackers to potentially read arbitrary files.
You are affected if you are using lollms-webui versions 9.5 or earlier. Upgrade to version 9.5 to mitigate the risk.
Upgrade lollms-webui to version 9.5 or later. Consider implementing WAF rules to block suspicious path traversal attempts.
As of now, there are no confirmed reports of active exploitation of CVE-2024-3322.
Refer to the parisneo/lollms-webui project's repository and release notes for the official advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.