CVE-2026-0562 lollms IDOR 漏洞，影响版本 2.2.0 及以下

在 parisneo/lollms 的版本高达 2.2.0 之前发现了一个关键的安全漏洞。此漏洞的 CVSS 评分为 8.3，允许经过身份验证的用户接受或拒绝其他用户的友谊请求。backend/routers/friends.py 中的 respondrequest() 函数缺少适当的授权检查，从而允许发生不安全的直接对象引用 (IDOR) 攻击。攻击者可以操纵 /api/friends/requests/{friendshipid} 端点代表其他用户执行操作，从而危及应用程序中关系中的隐私和安全。未能验证关系成员身份或接收者的身份使得这种操作成为可能。强烈建议升级到 2.2.0 或更高版本以减轻此风险。

Applications utilizing parisneo/lollms in their backend and exposing friend request functionality are at risk. This includes social networking platforms, collaborative tools, or any application where users manage connections with others. Specifically, deployments using older versions of lollms (0.0.0–2.2.0) are highly vulnerable.

• python / lollms:

# Check for vulnerable versions
import subprocess
result = subprocess.run(['pip', 'show', 'parisneo-lollms'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip()
    if version <= '2.2.0':
        print('Vulnerable version detected!')

• generic web:

curl -I https://your-lollms-instance.com/api/friends/requests/123 | grep -i 'WWW-Authenticate'

• generic web:

# Check access logs for suspicious requests to /api/friends/requests/{friendship_id} from different user IDs
grep '/api/friends/requests/[0-9]+' /var/log/nginx/access.log | grep 'user_id=[0-9]+'

1. 2026-03-29Disclosure

   disclosure

1. 已保留2026-01-01
2. 发布日期2026-03-29
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-06

此漏洞的解决方案是升级到 parisneo/lollms 的 2.2.0 或更高版本。此版本通过实施适当的检查来纠正 respondrequest() 函数中的授权缺陷，以确保只有授权用户才能与友谊请求进行交互。作为一项临时措施，请限制对 /api/friends/requests/{friendshipid} 端点的访问权限，或为具有提升的权限的用户，或实施审计系统以检测和防止操纵尝试。对于处理敏感数据的所有函数，尤其是涉及用户关系的功能，审查和加强访问控制至关重要。