Lollms-webui
Уязвимости
9
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.40416
Распределение по критичности
Критический
2
Высокий
4
Средний
1
Низкий
2
Затронутые диапазоны версий
< 9.3
Также сопоставлено как (исходные строки): lollms-webui
Топ уязвимостей
CVE-2024-4267В parisneo/lollms-webui, а именно в модуле 'open_file', версии 9.5, существует уязвимость удаленного выполнения кода (RCE). Уязвимость возникает из-за неправильной нейтрализации специальных элементов, используемых в команде в функции 'open_file'. Злоумышленник может использовать эту уязвимость, создав вредоносный путь к файлу, который при обработке функцией 'open_file' выполняет произвольные системные команды или считывает конфиденциальное содержимое файла. Эта проблема присутствует в коде, где subprocess.Popen используется небезопасно для открытия файлов на основе предоставленных пользователем путей без надлежащей проверки, что приводит к потенциальному внедрению команд.
CVE-2024-1601В функции `delete_discussion()` приложения parisneo/lollms-webui существует уязвимость SQL-инъекции, позволяющая злоумышленнику удалять все обсуждения и данные сообщений. Уязвимость может быть использована посредством специально созданного HTTP POST-запроса к конечной точке `/delete_discussion`, которая внутренне вызывает уязвимую функцию `delete_discussion()`. Отправляя специально созданную полезную нагрузку в параметре 'id', злоумышленник может манипулировать SQL-запросами для удаления всех записей из таблиц 'discussion' и 'message'. Эта проблема связана с неправильной нейтрализацией специальных элементов, используемых в команде SQL.
CVE-2024-4403В функции restart_program в parisneo/lollms-webui v9.6 существует уязвимость межсайтовой подделки запросов (CSRF). Эта уязвимость позволяет злоумышленникам обманом заставлять пользователей выполнять непреднамеренные действия, такие как сброс программы без их ведома, путем отправки специально созданных CSRF-форм. Эта проблема затрагивает процесс установки, включая установку Binding zoo и Models zoo, путем неожиданного сброса программ. Уязвимость связана с отсутствием защиты CSRF в затронутой функции.
CVE-2024-1646parisneo/lollms-webui уязвим для обхода аутентификации из-за недостаточной защиты конфиденциальных конечных точек. Приложение проверяет, не является ли параметр host '0.0.0.0', чтобы ограничить доступ, что неадекватно, когда приложение привязано к определенному интерфейсу, что позволяет несанкционированный доступ к таким конечным точкам, как '/restart_program', '/update_software', '/check_update', '/start_recording' и '/stop_recording'. Эта уязвимость может привести к отказу в обслуживании, несанкционированному отключению или переопределению записей и, возможно, к другим последствиям, если определенные функции включены в конфигурации.
CVE-2024-1569parisneo/lollms-webui уязвим для атаки типа «отказ в обслуживании» (DoS) из-за неконтролируемого потребления ресурсов. Злоумышленники могут использовать эндпоинты `/open_code_in_vs_code` и аналогичные без аутентификации, отправляя повторяющиеся HTTP POST-запросы, что приводит к многократному открытию Visual Studio Code или программы открытия папок по умолчанию (например, File Explorer, xdg-open). Это может привести к непригодности хост-машины из-за исчерпания системных ресурсов. Уязвимость присутствует в последней версии программного обеспечения.
CVE-2024-5125parisneo/lollms-webui версии 9.6 подвержена межсайтовому скриптингу (XSS) и открытому перенаправлению из-за неадекватной проверки входных данных и обработки SVG-файлов во время процесса загрузки. Уязвимость XSS позволяет злоумышленникам внедрять вредоносный код JavaScript в SVG-файлы, который выполняется при визуализации, что приводит к потенциальной краже учетных данных и несанкционированному доступу к данным. Уязвимость открытого перенаправления возникает из-за недостаточной проверки URL-адресов в SVG-файлах, что позволяет злоумышленникам перенаправлять пользователей на вредоносные веб-сайты, тем самым подвергая их фишинговым атакам, распространению вредоносного ПО и ущербу репутации. Эти уязвимости присутствуют в функциональности приложения для отправки файлов в модуль AI.
CVE-2024-6971Уязвимость обхода пути существует в репозитории parisneo/lollms-webui, в частности, в файле `lollms_file_system.py`. Функции `add_rag_database`, `toggle_mount_rag_database` и `vectorize_folder` не реализуют меры безопасности, такие как `sanitize_path_from_endpoint` или `sanitize_path`. Это позволяет злоумышленнику выполнять операции векторизации над файлами `.sqlite` в любом каталоге на компьютере жертвы, потенциально устанавливая несколько пакетов и вызывая сбой.
CVE-2024-4841Уязвимость Path Traversal существует в parisneo/lollms-webui, в частности, в функции 'add_reference_to_local_mode' из-за отсутствия обработки ввода. Эта уязвимость затрагивает версии с v9.6 до последней. Используя эту уязвимость, злоумышленник может предсказать папки, подпапки и файлы, присутствующие на компьютере жертвы. Уязвимость присутствует в том, как приложение обрабатывает параметр 'path' в HTTP-запросах к конечной точке '/add_reference_to_local_model'.
CVE-2024-4839Уязвимость Cross-Site Request Forgery (CSRF) существует в функции 'Servers Configurations' в parisneo/lollms-webui, версии 9.6 и до последней. Затронутые функции включают сервис Elastic search (в разработке), сервис XTTS, сервис Petals, сервис vLLM и сервис Motion Ctrl, которым не хватает защиты CSRF. Эта уязвимость позволяет злоумышленникам обманом заставлять пользователей невольно устанавливать сервис XTTS среди других пакетов, отправляя вредоносный запрос на установку. Успешная эксплуатация приводит к тому, что злоумышленники обманом заставляют пользователей выполнять действия без их согласия.