CVE-2024-4320

概要

parisneo/lollms-webui アプリケーションの `/install_extension` エンドポイント、具体的には `@router.post("/install_extension")` ルートハンドラ内に、リモートコード実行（RCE）の脆弱性が存在します。この脆弱性は、`ExtensionBuilder().build_extension()` メソッドにおける `name` パラメータの不適切な処理に起因し、ローカルファイルインクルージョン（LFI）を引き起こして任意のコード実行を可能にします。攻撃者は、悪意のある `name` パラメータを細工することでこの脆弱性を悪用でき、サーバーにディスカッション用のアップロードディレクトリなどの任意の場所から `__init__.py` ファイルをロード・実行させることができます。この脆弱性は、parisneo/lollms-webui の最新バージョンに影響を及ぼし、特にアプリケーションが外部エンドポイントに公開されている場合やヘッドレスモードで動作している場合には、ユーザーの操作を必要とせずにリモートコード実行につながる可能性があります。

• CVE-2024-4320PoC

  CVE-2024-4320の概念実証エクスプロイト。脆弱性とその影響を示します。