Plataforma
python
Componente
lollms-webui
Uma vulnerabilidade de Path Traversal e Remote File Inclusion (RFI) foi descoberta na aplicação parisneo/lollms-webui, afetando versões desde v9.7 até a mais recente. A falha reside na falta de validação adequada das entradas na função /applysettings, permitindo que um atacante manipule o parâmetro discussiondb_name para navegar pelo sistema de arquivos e incluir arquivos arbitrários. A aplicação está disponível em Python.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante acesse arquivos confidenciais no servidor, potencialmente expondo informações sensíveis como chaves de API, senhas ou dados de configuração. Além disso, a inclusão remota de arquivos (RFI) pode permitir a execução de código malicioso no servidor, comprometendo a integridade e a confidencialidade do sistema. A falta de filtragem adequada nos endpoints installbinding, reinstallbinding e unInstallbinding agrava o risco, mesmo com a presença de um filtro sanitizepathfromendpoint(data.name).
A vulnerabilidade foi divulgada em 25 de junho de 2024. Não há informações disponíveis sobre a inclusão em KEV ou a existência de exploits públicos. A pontuação de severidade CVSS é 7.7 (HIGH), indicando um risco significativo. A aplicação é popular em ambientes de desenvolvimento de IA, o que pode aumentar a probabilidade de exploração.
Organizations deploying lollms-webui, particularly those running it in production environments or on shared hosting platforms, are at risk. Environments with weak file system permissions or inadequate input validation practices are especially vulnerable. Users relying on lollms-webui for sensitive data processing or storage should prioritize patching.
• linux / server:
journalctl -u lollms-webui -g "apply_settings"• generic web:
curl -I http://your-lollms-webui-host/apply_settings?discussion_db_name=../../../../etc/passwd | grep 'HTTP/1.1 200 OK'• generic web:
Check access logs for requests to /applysettings with unusual or suspicious values for the discussiondb_name parameter (e.g., containing ../ sequences).
disclosure
Status do Exploit
EPSS
0.14% (percentil 33%)
CISA SSVC
Vetor CVSS
A mitigação primária é a atualização para uma versão corrigida do lollms-webui assim que disponível. Enquanto isso, implemente validação rigorosa de entrada em todos os parâmetros, especialmente o discussiondbname, para evitar a manipulação do caminho do arquivo. Considere a utilização de uma Web Application Firewall (WAF) com regras para bloquear tentativas de acesso a arquivos fora do diretório raiz. Revise e reforce a lógica de filtragem nos endpoints installbinding, reinstallbinding e unInstallbinding para garantir que o filtro sanitizepathfromendpoint(data.name) esteja funcionando corretamente e bloqueando acessos não autorizados.
Actualice la aplicación parisneo/lollms-webui a la última versión disponible. Esto solucionará la vulnerabilidad de Path Traversal y RFI. Asegúrese de validar y sanear todas las entradas del usuario para prevenir futuros ataques.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-4498 is a Path Traversal vulnerability in the parisneo/lollms-webui application, allowing attackers to read arbitrary files by manipulating input parameters.
If you are running lollms-webui versions v9.7 or later, you are potentially affected by this vulnerability. Upgrade as soon as a patch is available.
The recommended fix is to upgrade to a patched version of lollms-webui. Until a patch is available, implement strict input validation and consider using a WAF.
While no widespread exploitation has been confirmed, the ease of exploitation suggests a potential for rapid exploitation. Monitor security advisories.
Refer to the parisneo/lollms-webui project's GitHub repository and associated security advisories for updates and official announcements.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo requirements.txt e descubra na hora se você está afetado.