CVE-2024-2548
Təsvir
parisneo/lollms-webui tətbiqində, xüsusən `lollms_core/lollms/server/endpoints/lollms_binding_files_server.py` və `lollms_core/lollms/security.py` fayllarında yol keçmə (path traversal) zəifliyi mövcuddur. Windows və Linux mühitləri arasında `Path(path).is_absolute()` istifadə edilərək fayl yollarının qeyri-kafi yoxlanılması səbəbindən hücumçular bu qüsurdan istifadə edərək sistemdəki istənilən faylı oxuya bilərlər. Bu problem Windows platformasında işləyən LoLLMs-in ən son versiyasına təsir edir. Zəiflik hücumçunun `/user_infos/{path:path}` endpoint-inə xüsusi hazırlanmış sorğu göndərməsi zamanı tetiklenir və `win.ini` faylı ilə nümayiş etdirildiyi kimi, ixtiyari faylların oxunmasına imkan verir. Problem proqram təminatının 9.5 versiyasında həll edilmişdir.
Necə düzəltmək olar
- lollms lollms_web_ui9.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms_web_ui | v < 9.5 | 9.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.