PT-2025-12298 · Unknown · Parisneo/Lollms-Webui
Publicado
2025-03-20
·
Atualizado
2025-03-21
·
CVE-2024-9920
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
parisneo/lollms-webui versão v12
Descrição
O problema origina-se da função 'Send file to AL', que permite o upload de arquivos com diversas extensões, incluindo algumas potencialmente perigosas, como .py, .sh, .bat, entre outras. Atacantes podem explorar essa falha fazendo upload de arquivos com conteúdo malicioso e, em seguida, utilizando o endpoint da API "/open file" para executar esses arquivos. A questão decorre do uso de
subprocess.Popen para abrir arquivos sem a devida validação, o que pode levar à execução remota de código.Recomendações
Para a versão v12, considere desativar a função 'Send file to AL' até que uma correção esteja disponível. Como solução temporária, restrinja o acesso ao endpoint da API "/open file" para minimizar o risco de exploração. Evite usar a função
subprocess.Popen para abrir arquivos sem a devida validação até que o problema seja resolvido.Exploit
Correção
Unrestricted File Upload
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Parisneo/Lollms-Webui