parisneo/lollms-webui 中存在路径遍历和拒绝服务漏洞

该漏洞允许攻击者通过 /select_database 端点指定绝对路径，从而在 lollms-webui 应用程序具有写入权限的任何位置创建目录。攻击者可以利用此漏洞创建与关键系统文件（例如 HTTPS 证书文件）同名的目录，导致服务器启动失败，造成拒绝服务。此外，攻击者还可以通过创建大量目录来耗尽系统资源，进一步加剧拒绝服务攻击。由于该漏洞允许在系统上创建任意目录，因此存在潜在的安全风险，例如覆盖重要文件或执行恶意代码。

Organizations deploying lollms-webui in production environments, particularly those with lax file permission configurations or those running vulnerable versions (≤v9.3) are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to impact other users on the same server.

• python / lollms-webui:

# Check for the vulnerable endpoint
curl -I http://<lollms-webui-ip>/select_database

• python / lollms-webui:

# Monitor for suspicious file creation attempts in lollms-webui logs
grep -i "/select_database" /var/log/lollms-webui.log

• generic web:

# Check for directory listing exposure
curl -I http://<lollms-webui-ip>/directory_listing

1. 2024-06-06Disclosure

   disclosure

1. 已保留2024-02-24
2. 发布日期2024-06-06
3. 修改日期2025-10-15
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级到 lollms-webui 的 v9.3 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 /select_database 端点的访问权限，仅允许受信任的用户访问。实施严格的文件路径验证，确保用户输入的文件路径不包含绝对路径或恶意字符。监控系统日志，检测可疑的文件创建活动。在 Web 应用程序防火墙 (WAF) 中配置规则，以阻止包含绝对路径的文件路径请求。