CVE-2024-11302
Publiée le 2025-03-20 · Dernière modification le 2026-06-17
LoLLMs (version V14) est affecté par l'absence d'un contrôle d'autorisation dans son module de gestion des liaisons. Un attaquant ayant un accès local au système peut ajouter, modifier ou supprimer arbitrairement des liaisons logicielles sans avoir besoin d'un identifiant client ou de toute autre authentification. Comme aucune interaction de l'utilisateur n'est requise, cela permet la manipulation non autorisée des paramètres du système et une interruption potentielle du service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A missing check_access() function in the lollms_binding_infos module of the parisneo/lollms repository, version V14, allows attackers to add, modify, and remove bindings arbitrarily. This vulnerability affects the /install_binding and /reinstall_binding endpoints, among others, enabling unauthorized access and manipulation of binding settings without requiring the client_id value.