CVE-2024-4320

सारांश

parisneo/lollms-webui एप्लिकेशन के '/install_extension' एंडपॉइंट में एक रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता मौजूद है, विशेष रूप से `@router.post("/install_extension")` रूट हैंडलर के भीतर। यह भेद्यता `ExtensionBuilder().build_extension()` विधि में `name` पैरामीटर के अनुचित हैंडलिंग के कारण उत्पन्न होती है, जो लोकल फ़ाइल इन्क्लूज़न (LFI) की अनुमति देती है, जिससे मनमाना कोड एक्ज़ीक्यूशन होता है। एक हमलावर एक दुर्भावनापूर्ण `name` पैरामीटर तैयार करके इस भेद्यता का फ़ायदा उठा सकता है, जिससे सर्वर किसी मनमाने स्थान से `__init__.py` फ़ाइल लोड और एक्ज़ीक्यूट करता है, जैसे कि चर्चाओं के लिए अपलोड निर्देशिका। यह भेद्यता parisneo/lollms-webui के नवीनतम संस्करण को प्रभावित करती है और उपयोगकर्ता इंटरैक्शन की आवश्यकता के बिना रिमोट कोड एक्ज़ीक्यूशन का कारण बन सकती है, विशेष रूप से जब एप्लिकेशन किसी बाहरी एंडपॉइंट पर उजागर होता है या हेडलेस मोड में संचालित होता है।

• CVE-2024-4320PoC

  CVE-2024-4320 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो भेद्यता और इसके प्रभाव को प्रदर्शित करता है।