parisneo/lollms 中的跨站脚本 (Cross-site Scripting, XSS)

该 XSS 漏洞允许攻击者在其他用户的浏览器上下文中执行恶意脚本。攻击者可以利用此漏洞窃取用户的敏感信息，例如 cookie 和会话令牌，从而实现账户接管。此外，攻击者还可以利用此漏洞执行恶意操作，例如重定向用户到恶意网站或篡改网站内容。由于 XSS 漏洞的普遍性和潜在危害，该漏洞被评定为高危级别。攻击者可以利用此漏洞进行蠕虫式攻击，将恶意代码传播到其他用户。

Applications that utilize lollms to process user-generated content or handle sensitive data are at significant risk. This includes web applications, chatbots, and any system where user input is deserialized and displayed without proper sanitization. Developers using older versions of lollms and those who haven't implemented robust input validation routines are particularly vulnerable.

• javascript: Inspect application code for instances where AppLollmsMessage objects are deserialized from user input without proper sanitization. Search for the from_dict method and its usage. • generic web: Monitor web application logs for suspicious JavaScript execution patterns or unusual HTML content. Look for patterns indicative of XSS payloads. • generic web: Use browser developer tools to inspect the DOM for unexpected script tags or HTML elements that could indicate XSS exploitation.

1. 2026-04-12Disclosure

   disclosure

1. 已保留2026-01-17
2. 发布日期2026-04-12
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-19

解决 CVE-2026-1116 的主要方法是升级到 lollms 的 2.2.0 版本或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以对用户输入进行严格的 sanitization 和 HTML 编码，以防止恶意脚本注入。此外，还可以使用 Web 应用防火墙 (WAF) 来过滤恶意请求。升级后，请验证漏洞是否已成功修复，可以通过尝试注入简单的 XSS payload 来进行测试。