PT-2026-31885 · Parisneo · Lollms

Publicado 2026-01-10 · Atualizado 2026-04-11 · CVE-2026-1115

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Name of the Vulnerable Software and Affected Versions parisneo/lollms versões anteriores a 2.2.0

Description Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado existe na funcionalidade social do parisneo/lollms. A vulnerabilidade está localizada na função create post dentro de backend/routers/social/ init .py, onde o conteúdo fornecido pelo usuário é diretamente atribuído ao modelo DBPost sem a devida sanitização. Isso permite que invasores injetem JavaScript malicioso que é executado nos navegadores dos usuários que visualizam o Feed Inicial, potencialmente levando à tomada de conta de conta, sequestro de sessão e ataques wormable.

Recommendations Atualize para a versão 2.2.0 para resolver a vulnerabilidade.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2026-06489

CVE-2026-1115

GHSA-8WRQ-FV5F-PFP2

Produtos afetados

Lollms

Referências · 11

• 🔥 https://huntr.com/bounties/099aa4fe-7165-4337-889c-3fb4f1aa71aa · Exploit
• https://github.com/parisneo/lollms/commit/9767b882dbc893c388a286856beeaead69b8292a · Correção
• https://github.com/ParisNeo/lollms · Nota
• https://twitter.com/pulsepatchio/status/2042797239416885520 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2042500212946514170 · Publicação no Twitter
• https://twitter.com/giuseppe_1337/status/2042504298949427390 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8wrq-fv5f-pfp2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-1115 · Nota de Segurança
• https://bdu.fstec.ru/vul/2026-06489 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042561733882188231 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2042508675131035904 · Publicação no Twitter