CVE-2024-6250
Publiée le 2024-06-27 · Dernière modification le 2026-06-17
Lollms-webui v9.6 exécuté sur Windows est susceptible d'être affecté par une faille de traversée de chemin (path traversal) dans sa fonctionnalité d'ouverture de fichiers. Un attaquant distant non authentifié peut exploiter cette vulnérabilité via le réseau pour lire n'importe quel fichier ou lister n'importe quel répertoire sur le système hôte. Comme aucune interaction utilisateur ni privilège particulier n'est requis, cette attaque est simple à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An absolute path traversal vulnerability exists in parisneo/lollms-webui v9.6, specifically in the `open_file` endpoint of `lollms_advanced.py`. The `sanitize_path` function with `allow_absolute_path=True` allows an attacker to access arbitrary files and directories on a Windows system. This vulnerability can be exploited to read any file and list arbitrary directories on the affected system.