CVE-2026-10595

WysokieCVSS 7.5

Opublikowano: 09/08/2026(UTC)Zaktualizowano: 10/08/2026(UTC)Przetłumaczono: 09/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Podatność typu path traversal w parisneo/lollms w wersji 2.1.0, w trasie SPA catch-all w `backend/routers/ui.py`. Niewłaściwe obsłużenie ścieżki wejściowej użytkownika, która jest bezpośrednio łączona ze ścieżką systemu plików bez sanityzacji, pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików na serwerze. Problem został naprawiony w wersji 3.

Ocena ryzyka

Atakujący może odczytać dowolne pliki na serwerze, w tym pliki konfiguracyjne, dane użytkowników lub sekrety, co może prowadzić do naruszenia poufności i dalszych ataków.

Rekomendacja

Zaleca się natychmiastową aktualizację do wersji 3 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w parisneo/lollms

CVE-2026-1163Średnie
Najnowsza wersja parisneo/lollms zawiera podatność na niewystarczające wygaśnięcie sesji. Aplikacja nie unieważnia aktywnych sesji po zmianie hasła, co pozwala atakującemu na kontynuowanie korzystania ze starego tokena sesji. Problem wynika z braku logiki odrzucania żądań po okresie bezczynności oraz z domyślnego czasu trwania sesji wynoszącego 31 dni. Umożliwia to atakującemu utrzymanie trwałego dostępu do skompromitowanego konta nawet po zmianie hasła przez ofiarę.

Oryginalny opis (angielski, źródło NVD)

A path traversal vulnerability exists in parisneo/lollms version 2.1.0, specifically in the SPA catch-all route implemented in `backend/routers/ui.py`. The vulnerability arises from the improper handling of user-controlled path input, which is directly joined into a filesystem path without sanitization or containment checks. URL-encoded dot-dot sequences (`%2e%2e`) bypass Starlette's built-in path normalization and are resolved by Python's `pathlib`, allowing an unauthenticated attacker to read arbitrary files on the server. This issue has been resolved in version 3.