Referência Direta Insegura a Objeto (IDOR) em parisneo/lollms

Uma vulnerabilidade crítica foi descoberta no parisneo/lollms, afetando versões até a 2.2.0. Essa falha de segurança, classificada com um CVSS de 8.3, permite que usuários autenticados aceitem ou rejeitem solicitações de amizade que não lhes pertencem. A função respondrequest() em backend/routers/friends.py carece de controles de autorização adequados, facilitando ataques de Insecure Direct Object Reference (IDOR). Um atacante pode manipular a URL /api/friends/requests/{friendshipid} para agir em nome de outros usuários, comprometendo a privacidade e a segurança das relações dentro da aplicação. A falta de verificação da pertinência à relação ou à identidade do destinatário permite essa manipulação. É altamente recomendável atualizar para a versão 2.2.0 ou superior para mitigar este risco.

Applications utilizing parisneo/lollms in their backend and exposing friend request functionality are at risk. This includes social networking platforms, collaborative tools, or any application where users manage connections with others. Specifically, deployments using older versions of lollms (0.0.0–2.2.0) are highly vulnerable.

• python / lollms:

# Check for vulnerable versions
import subprocess
result = subprocess.run(['pip', 'show', 'parisneo-lollms'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip()
    if version <= '2.2.0':
        print('Vulnerable version detected!')

• generic web:

curl -I https://your-lollms-instance.com/api/friends/requests/123 | grep -i 'WWW-Authenticate'

• generic web:

# Check access logs for suspicious requests to /api/friends/requests/{friendship_id} from different user IDs
grep '/api/friends/requests/[0-9]+' /var/log/nginx/access.log | grep 'user_id=[0-9]+'

1. 2026-03-29Disclosure

   disclosure

1. Reservado2026-01-01
2. Publicada2026-03-29
3. Modificada2026-04-22
4. EPSS atualizado2026-04-06

A solução para esta vulnerabilidade é atualizar para a versão 2.2.0 ou superior do parisneo/lollms. Esta versão corrige a falha de autorização na função respondrequest(), implementando verificações adequadas para garantir que apenas os usuários autorizados possam interagir com as solicitações de amizade. Enquanto isso, como medida temporária, recomenda-se restringir o acesso ao endpoint /api/friends/requests/{friendshipid} a usuários com privilégios elevados ou implementar um sistema de auditoria para detectar e prevenir tentativas de manipulação. É crucial revisar e fortalecer os controles de acesso em todas as funções que lidam com dados sensíveis, especialmente aquelas que envolvem relações entre usuários.