CVE-2024-4320

总结

巴黎neo/lollms-webui 应用的 `/install_extension` 端点存在远程代码执行（RCE）漏洞，具体位于 `@router.post("/install_extension")` 路由处理器中。该漏洞源于 `ExtensionBuilder().build_extension()` 方法对 `name` 参数处理不当，导致存在本地文件包含（LFI）漏洞，进而可引发任意代码执行。攻击者可通过构造恶意的 `name` 参数来利用此漏洞，使服务器从任意位置（如讨论区的上传目录）加载并执行 `__init__.py` 文件。该漏洞影响 parisneo/lollms-webui 的最新版本，且无需用户交互即可导致远程代码执行，尤其是在应用暴露于外部端点或以无头模式运行时。

• CVE-2024-4320PoC

  CVE-2024-4320 的概念验证漏洞利用，演示该漏洞及其影响。