parisneo/lollms-webui 中的路径遍历漏洞

攻击者可以利用此路径遍历漏洞通过构造恶意的 codefolderpath 参数，访问 lollms-webui 服务器文件系统中的任意文件。攻击者可以读取包含敏感信息的文件，例如配置文件、密钥、数据库凭据等。如果攻击者能够读取包含代码的文件，他们可能能够进一步利用这些代码来执行恶意操作，例如代码注入或远程代码执行。此漏洞的潜在影响包括敏感数据泄露、系统完整性受损，甚至可能导致服务器被完全控制。

Organizations deploying lollms-webui, particularly those utilizing the 'cyber_security/codeguard' personality, are at risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a compromise of one user's instance could potentially lead to access to other users' data.

• linux / server:

find /opt/lollms-webui -name 'processor.py' -print0 | xargs -0 grep -i 'code_folder_path'

• python / supply-chain: Inspect the processor.py file within the lollms-webui/zoos/personalitieszoo/cybersecurity/codeguard/scripts/ directory for the vulnerable process_folder function and lack of proper input sanitization. • generic web: Attempt to access files outside the intended directory using path traversal sequences in the URL (e.g., /zoos/personalitieszoo/cybersecurity/codeguard/../../../../etc/passwd).

1. 2024-06-06Disclosure

   disclosure

1. 已保留2024-04-04
2. 发布日期2024-06-06
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 lollms-webui 升级至 9.5 或更高版本。如果升级不可行，可以尝试限制 codefolderpath 参数的访问权限，只允许访问预定义的目录。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以拦截包含 '../' 或绝对路径的请求。监控服务器日志，查找可疑的文件访问尝试，并及时采取行动。