PT-2024-33098 · Parisneo · Lollms-Webui

Publicado 2024-06-23 · Atualizado 2025-11-07 · CVE-2024-4841

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

parisneo/lollms-webui, versões da v9.6 até a mais recente

Descrição

Existe uma vulnerabilidade de traversal de caminho devido à falta de sanitização de entrada na função add reference to local mode. Isso permite que um invasor preveja as pastas, subpastas e arquivos presentes no computador da vítima, explorando a forma como o aplicativo lida com o parâmetro path em solicitações HTTP para o endpoint “/add reference to local model”.

Recomendações

Para as versões v9.6 até a mais recente, como solução temporária, considere desativar a função add reference to local mode até que um patch esteja disponível. Restrinja o acesso ao endpoint “/add reference to local model” para minimizar o risco de exploração. Evite usar o parâmetro path no endpoint afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-29

Identificadores relacionados

CVE-2024-4841

Produtos afetados

Lollms-Webui

Referências · 6

• 🔥 https://huntr.com/bounties/740dda3e-7104-4ccf-9ac4-8870e4d6d602 · Exploit
• https://t.me/cvenotify/127878 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-4841 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-4841 · Aviso do Fabricante
• https://t.me/cvenotify/84127 · Publicação no Telegram
• https://t.me/cveNotify/142115 · Publicação no Telegram