CVE-2024-4322
Açıklama
parisneo/lollms-webui uygulamasında, özellikle `/list_personalities` uç noktasında bir path traversal zafiyeti bulunmaktadır. Bir saldırgan, `category` parametresini manipüle ederek dizin yapısında gezinebilir ve sistemdeki herhangi bir dizini listeleyebilir. Bu sorun, uygulamanın en son sürümünü etkilemektedir. Zafiyet, `list_personalities` fonksiyonunda kullanıcı tarafından sağlanan girdilerin uygun şekilde işlenmemesinden kaynaklanmakta olup, burada `category` parametresi listelenecek rastgele dizinleri belirlemek için kontrol edilebilmektedir. Bu zafiyetin başarıyla istismar edilmesi, bir saldırganın sistemdeki sürücüde bulunan tüm klasörleri listelemesine olanak tanıyabilir ve potansiyel olarak bilgi ifşasına yol açabilir.
Nasıl düzeltilir
- lollms lollms_web_ui9.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lollms lollms_web_ui | v < 9.8 | 9.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.