Informazioni sul CVE-2024-2548

Path Traversal in parisneo/lollms-webui

CWE ID: CWE-36

Base Score (CVSS): N/A

CVE: CVE-2024-2548

Descrizione: Una vulnerabilità di percorsi di navigazione esiste nella applicazione parisneo/lollms-webui, specificamente all’interno dei file `lollms_core/lollms/server/endpoints/lollms_binding_files_server.py` e `lollms_core/lollms/security.py`. A causa di una convalida inadeguata dei percorsi di file tra ambienti Windows e Linux utilizzando `Path(path).is_absolute()`, gli attaccanti possono sfruttare questo difetto per leggere qualsiasi file sul sistema. Questo problema si applica alla versione più recente di LoLLMs in esecuzione sul Windows. La vulnerabilità viene attivata quando un attaccante invia una richiesta in modo specializzato al `/user_infos/{path:path}` endpoint, consentendo la lettura di file arbitrari, come dimostrato con il file `win.ini`. Il problema è stato risolto nella versione 9.5 del software.

Vettore di attacco

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 0.0 (None)

Riassunto: .

Dettaglio del Vettore

Metrica Valore Significato Descrizione

Riferimenti esterni

Prodotti interessati

  • parisneo – parisneo/lollms-webui

Relazioni con altri prodotti

Produttore:parisneo
Prodotto: parisneo/lollms-webui
Anno: 2024
CWE: CWE-36
CVSS: 0.0

Ulteriori risorse disponibili