Anmelden
Deutsch English Español Polski
Hoch

Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function

  • Veröffentlicht: 07.07.2025
  • Aktualisiert: 11.10.2026 13:18

The parisneo/lollms repository is affected by a timing attack vulnerability in the authenticate_user function within the lollms_authentication.py file. This vulnerability allows attackers to enumerate valid usernames and guess passwords incrementally by analyzing response time differences. The affected version is the latest, and the issue is resolved in commit f78437f. The vulnerability arises from the use of Python's default string equality operator for password comparison, which compares characters sequentially and exits on the first mismatch, leading to variable response times based on the number of matching initial characters.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) lollms <= 11.0.0 keine Korrektur

Verweise

CVSS-Wert 7.5/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE)
CWE-203
Plattform
Python (PyPI)
Paket
lollms
Veröffentlicht
07.07.2025
Aktualisiert
11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-1590 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-j5pr-vrjj-9v4h - CC BY 4.0

Schwachstellenhistorie: lollms

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (24) im Archiv
Einträge insgesamt
24
Erste → letzte
05.2024 04.2026
Ohne Fix
9
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 12
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Kritisch · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Kritisch · 9.8 CVE-2026-1114 <= 2.1.0 keine Korrektur
  3. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Hoch · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  4. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Hoch · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  5. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Kritisch · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  6. Lollms has an Improper Access Control vulnerability
    Hoch · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  7. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function dieser Eintrag
    Hoch · 7.5 CVE-2025-6386 <= 11.0.0 keine Korrektur
  8. LoLLMS Code Injection vulnerability
    Hoch · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  9. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Kritisch · 9.0 CVE-2024-6581 alle Versionen keine Korrektur
  10. LoLLMS vulnerable to Expected Behavior Violation
    Hoch · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  11. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Hoch · 8.6 CVE-2024-6085 <= 9.5.1 keine Korrektur
  12. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Hoch · 7.3 CVE-2024-6139 <= 9.5.1 keine Korrektur
  13. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Hoch · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  14. Remote Code Execution via path traversal bypass in lollms
    Kritisch · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  15. parisneo/lollms Local File Inclusion (LFI) attack
    Kritisch · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  16. LoLLMS Path Traversal vulnerability
    Hoch · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  17. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Hoch · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  18. LoLLMS Command Injection vulnerability
    Hoch · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.