PT-2025-6767 · Unknown · Parisneo/Lollms

Publicado 2025-02-14 · Atualizado 2025-03-20 · CVE-2024-6982

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas parisneo/lollms versão 9.8

Descrição Existe uma vulnerabilidade de execução remota de código na função Calculate devido ao uso da função eval() do Python para avaliar expressões matemáticas dentro de uma sandbox Python. Esta sandbox, que desabilita builtins e permite apenas funções do módulo math, pode ser contornada carregando o módulo os utilizando a classe frozen importlib.BuiltinImporter. Isso permite que um atacante execute comandos arbitrários no servidor.

Recomendações Para o parisneo/lollms versão 9.8, atualize para a versão 9.10 para resolver o problema. Como solução temporária, considere desabilitar a função Calculate até que uma correção esteja disponível. Restrinja o acesso ao módulo os para minimizar o risco de exploração. Evite usar a função eval() na função Calculate até que o problema seja resolvido.

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-6982

GHSA-JCCX-M9V4-9HWH

Produtos afetados

Parisneo/Lollms

Referências · 9

• https://github.com/ParisNeo/lollms · Nota
• https://github.com/parisneo/lollms/commit/30e7eaba2ccfb751a81e7cb29fdef2ae8ffa6832 · Nota
• https://twitter.com/CVEnew/status/1902671104285552778 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/1890412652389675023 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-6982 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jccx-m9v4-9hwh · Aviso do Fabricante
• https://huntr.com/bounties/4f8e73ac-aaaf-4d5c-a6dd-58215b5a7fea · Nota
• https://t.me/cybersecuritytechnologies/11812 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-6982 · Aviso do Fabricante