CVE-2024-3322

parisneo/lollms-webui'nin 'cyber_security/codeguard' yerel kişiliğinde, 9.5 sürümüne kadar olan versiyonları etkileyen bir yol aşımı (path traversal) zafiyeti bulunmaktadır. Zafiyet, 'lollms-webui/zoos/personalities_zoo/cyber_security/codeguard/scripts/processor.py' içerisindeki 'process_folder' fonksiyonunda, bir dosya yolunun kısıtlı bir dizinle uygun şekilde sınırlandırılmamasından kaynaklanmaktadır. Özellikle fonksiyon, 'code_folder_path' için kullanıcı tarafından sağlanan girdiyi düzgün şekilde temizleyememekte ve bu durum saldırganın '../' veya mutlak yollar kullanarak rastgele yollar belirtmesine izin vermektedir. Bu açık, belirlenen dizinlerde herhangi bir sınırlama olmaksızın rastgele dosya okuma ve üzerine yazma yeteneklerine yol açarak hassas bilgilerin ifşası ve yetkisiz dosya manipülasyonu açısından önemli bir risk oluşturmaktadır.