CVE-2024-2548
Açıklama
parisneo/lollms-webui uygulamasında, özellikle `lollms_core/lollms/server/endpoints/lollms_binding_files_server.py` ve `lollms_core/lollms/security.py` dosyaları içerisinde bir path traversal zafiyeti bulunmaktadır. `Path(path).is_absolute()` kullanılarak Windows ve Linux ortamları arasındaki dosya yollarının yetersiz doğrulanması nedeniyle, saldırganlar bu açığı kullanarak sistemdeki herhangi bir dosyayı okuyabilirler. Bu sorun, Windows platformunda çalışan LoLLMs'in son sürümünü etkilemektedir. Zafiyet, bir saldırganın `/user_infos/{path:path}` uç noktasına özel olarak hazırlanmış bir istek göndermesiyle tetiklenmekte ve `win.ini` dosyasında örneklendiği gibi rastgele dosyaların okunmasına izin vermektedir. Sorun, yazılımın 9.5 versiyonunda giderilmiştir.
Nasıl düzeltilir
- lollms lollms_web_ui9.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms_web_ui | v < 9.5 | 9.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.