CVE-2024-4315
CriticalSummary
Wersja 9.5 biblioteki parisneo/lollms jest podatna na ataki Local File Inclusion (LFI) z powodu niewystarczającej sanitizacji ścieżek. Funkcja `sanitize_path_from_endpoint` nieprawidłowo sanitizuje ścieżki w stylu Windows, co umożliwia atakującym przeprowadzanie ataków typu directory traversal na systemach Windows.
Risk Assessment
Podatność ta pozwala na odczyt lub usunięcie dowolnego pliku w systemie plików Windows, co może prowadzić do kompromitacji dostępności systemu.
Recommendation
Zaleca się aktualizację do najnowszej wersji biblioteki parisneo/lollms oraz wdrożenie dodatkowych mechanizmów zabezpieczających przed atakami LFI.
Original NVD description (English source)
parisneo/lollms version 9.5 is vulnerable to Local File Inclusion (LFI) attacks due to insufficient path sanitization. The `sanitize_path_from_endpoint` function fails to properly sanitize Windows-style paths (backward slash `\`), allowing attackers to perform directory traversal attacks on Windows systems. This vulnerability can be exploited through various routes, including `personalities` and `/del_preset`, to read or delete any file on the Windows filesystem, compromising the system's availability.