CVE-2024-2178
Açıklama
parisneo/lollms-webui içerisinde, özellikle 'lollms_personalities_infos.py' dosyasındaki 'copy_to_custom_personas' uç noktasında bir dizinlemesine geçiş (path traversal) zafiyeti bulunmaktadır. Bu zafiyet, saldırganların 'Copy to custom personas folder for editing' işlemi sırasında 'category' ve 'name' parametrelerini manipüle ederek rastgele dosyaları okumasına olanak tanır. Saldırganlar, bu parametrelere '../' dizileri ekleyerek dizin yapısında gezinebilir ve hedeflenen dizinin dışındaki dosyalara erişebilirler. Zafiyetin başarıyla istismar edilmesi, hassas bilgilere yetkisiz erişimle sonuçlanır.
Nasıl düzeltilir
- lollms lollms_web_ui9.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms_web_ui | v < 9.4 | 9.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.