FICHE CVE

CVE-2024-2548

Publiée le 2024-06-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de l'interface web de LoLLMs s'exécutant sur Windows sont vulnérables à une faille de traversée de répertoire (path traversal). Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête spécialement conçue au serveur pour lire n'importe quel fichier arbitraire sur le système hôte. Cette exploitation est facile à exécuter et ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36 Traversée de répertoires · CWE-22

Publiée2024-06-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

A path traversal vulnerability exists in the parisneo/lollms-webui application, specifically within the `lollms_core/lollms/server/endpoints/lollms_binding_files_server.py` and `lollms_core/lollms/security.py` files. Due to inadequate validation of file paths between Windows and Linux environments using `Path(path).is_absolute()`, attackers can exploit this flaw to read any file on the system. This issue affects the latest version of LoLLMs running on the Windows platform. The vulnerability is triggered when an attacker sends a specially crafted request to the `/user_infos/{path:path}` endpoint, allowing the reading of arbitrary files, as demonstrated with the `win.ini` file. The issue has been addressed in version 9.5 of the software.