CVE-2024-5982

gaizhenbiao/chuanhuchatgpt proqramının ən son versiyasında yol keçmə (path traversal) zəifliyi mövcuddur. Zəiflik istifadəçi yükləməsi, qovluq yaradılması və şablon yüklənməsi daxil olmaqla bir neçə funksiyada təmizlənməmiş giriş emalından yaranır. Xüsusilə, modules/models/base_model.py faylındakı load_chat_history funksiyası ixtiyari fayl yükləməsinə imkan verir və bu, uzaqdan kodun icrasına (RCE) səbəb ola bilər. utils.py faylındakı get_history_names funksiyası ixtiyari qovluq yaradılmasına icazə verir. Bundan əlavə, utils.py faylındakı load_template funksiyası CSV fayllarının birinci sütununun sızması üçün istifadə edilə bilər. Bu problemlər os.path.join istifadə edilərək qovluq yolları ilə birləşdirilən istifadəçi girişlərinin düzgün təmizlənməməsindən qaynaqlanır.