PT-2025-12238 · Unknown · Parisneo/Lollms-Webui

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-8581

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas parisneo/lollms-webui versão V12 (Strawberry)

Descrição O problema refere-se a uma função chamada upload app que não filtra adequadamente a entrada do usuário para o valor filename, resultando em uma vulnerabilidade de Path Traversal. Isso permite que um atacante exclua qualquer arquivo ou diretório no sistema.

Recomendações Para o parisneo/lollms-webui versão V12 (Strawberry), considere desativar a função upload app até que um patch esteja disponível para prevenir exploração potencial. Restrinja o acesso a arquivos e diretórios sensíveis para minimizar o risco de exclusão.

Exploit

Correção

Path traversal

Code Injection

Enumeração de Fraquezas

CWE-22

CWE-94

Identificadores relacionados

CVE-2024-8581

Produtos afetados

Parisneo/Lollms-Webui

Referências · 5

• 🔥 https://huntr.com/bounties/67ead5b9-8149-4001-a1cd-ac648cb7b414 · Exploit
• https://github.com/parisneo/lollms-webui/commit/dcc078cbe20d2a9640b0942a622134b0e3fa6e48 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-8581 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-8581 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902968905150374121 · Publicação no Twitter