CVE-2024-4315

Krytyczne

Opublikowano: 12/06/2024(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Wersja 9.5 biblioteki parisneo/lollms jest podatna na ataki Local File Inclusion (LFI) z powodu niewystarczającej sanitizacji ścieżek. Funkcja `sanitize_path_from_endpoint` nieprawidłowo sanitizuje ścieżki w stylu Windows, co umożliwia atakującym przeprowadzanie ataków typu directory traversal na systemach Windows.

Ocena ryzyka

Podatność ta pozwala na odczyt lub usunięcie dowolnego pliku w systemie plików Windows, co może prowadzić do kompromitacji dostępności systemu.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji biblioteki parisneo/lollms oraz wdrożenie dodatkowych mechanizmów zabezpieczających przed atakami LFI.

Oryginalny opis (angielski, źródło NVD)

parisneo/lollms version 9.5 is vulnerable to Local File Inclusion (LFI) attacks due to insufficient path sanitization. The `sanitize_path_from_endpoint` function fails to properly sanitize Windows-style paths (backward slash `\`), allowing attackers to perform directory traversal attacks on Windows systems. This vulnerability can be exploited through various routes, including `personalities` and `/del_preset`, to read or delete any file on the Windows filesystem, compromising the system's availability.