parisneo/lollms-webui 中存在路径遍历和远程文件包含 (RFI) 漏洞

攻击者可以利用此路径遍历漏洞访问服务器上的任意文件，包括配置文件、源代码和敏感数据。通过包含恶意文件，攻击者可能能够执行任意代码，从而完全控制受影响的系统。此漏洞的潜在影响包括数据泄露、系统破坏和未经授权的访问。由于该漏洞允许远程文件包含 (RFI)，攻击者可能能够从外部服务器加载恶意代码，进一步扩大攻击范围。

Organizations deploying lollms-webui, particularly those running it in production environments or on shared hosting platforms, are at risk. Environments with weak file system permissions or inadequate input validation practices are especially vulnerable. Users relying on lollms-webui for sensitive data processing or storage should prioritize patching.

• linux / server:

journalctl -u lollms-webui -g "apply_settings"

• generic web:

curl -I http://your-lollms-webui-host/apply_settings?discussion_db_name=../../../../etc/passwd | grep 'HTTP/1.1 200 OK'

• generic web: Check access logs for requests to /applysettings with unusual or suspicious values for the discussiondb_name parameter (e.g., containing ../ sequences).

1. 2024-06-25Disclosure

   disclosure

1. 已保留2024-05-04
2. 发布日期2024-06-25
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

虽然官方修复版本尚未发布，但可以采取一些缓解措施来降低风险。首先，限制对 /applysettings 端点的访问，并实施严格的输入验证，以防止攻击者操纵 discussiondbname 参数。其次，审查 installbinding, reinstallbinding, 和 unInstallbinding 端点的代码，确保 sanitizepathfrom_endpoint(data.name) 过滤器的有效性。最后，监控系统日志，查找任何可疑的文件访问或包含活动。在升级到修复版本后，确认漏洞已修复，可以通过尝试访问受保护的文件来验证。