CVE-2024-4320 описывает уязвимость в программном обеспечении parisneo/lollms, в частности в функции `ExtensionBuilder().build_extension()`.…

CVE-2024-4320 описывает уязвимость в программном обеспечении parisneo/lollms, в частности в функции `ExtensionBuilder().build_extension()`. Уязвимость возникает в конечной точке `/mount_extension`, где проблема обхода пути позволяет злоумышленникам перемещаться за пределы предполагаемой структуры каталогов. Этому способствует то, что параметры `data.category` и `data.folder` принимают пустые строки (`""`), которые из-за неадекватной очистки ввода могут привести к построению `package_path`, указывающего на корневой каталог. Следовательно, если злоумышленник может создать файл `config.yaml` в контролируемом пути, этот путь может быть добавлен в список `extensions` и вызвать выполнение `__init__.py` в текущем каталоге, что приведет к удаленному выполнению кода. Уязвимость затрагивает версии до 5.9.0 и была устранена в версии 9.8.