CVE-2026-10595
Təsvir
parisneo/lollms 2.1.0 versiyasında, xüsusən `backend/routers/ui.py` faylında tətbiq edilmiş SPA catch-all marşrutunda yol keçmə (path traversal) zəifliyi mövcuddur. Zəiflik istifadəçi tərəfindən idarə olunan yol girişinin düzgün emal edilməməsi nəticəsində yaranır: bu giriş təmizlənmə və ya məhdudlaşdırma yoxlamaları olmadan birbaşa fayl sistemi yoluna birləşdirilir. URL ilə kodlanmış nöqtə-nöqtə ardıcıllıqları (`%2e%2e`) Starlette-in daxili yol normallaşdırmasını yan keçir və Python-un `pathlib` modulu tərəfindən həll edilir, bu da autentifikasiyadan keçməmiş hücumçuya serverdə ixtiyari faylları oxumağa imkan verir. Bu problem 3 versiyasında həll edilmişdir.
Necə düzəltmək olar
- parisneo parisneo/lollms3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parisneo parisneo/lollms | v < 3 | 3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.