Anmelden
Deutsch English Español Polski
Kritisch

parisneo/lollms vulnerable to stored XSS in the social feature

  • Veröffentlicht: 10.04.2026
  • Aktualisiert: 11.10.2026 12:20

A Stored Cross-Site Scripting (XSS) vulnerability was identified in the social feature of parisneo/lollms, affecting the latest version prior to 2.2.0. The vulnerability exists in the create_post function within backend/routers/social/__init__.py, where user-provided content is directly assigned to the DBPost model without sanitization. This allows attackers to inject and store malicious JavaScript, which is executed in the browsers of users viewing the Home Feed, including administrators. This can lead to account takeover, session hijacking, and wormable attacks. The issue is resolved in version 2.2.0.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) lollms < 2.2.0 2.2.0

Verweise

CVSS-Wert 9.6/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Schwäche (CWE)
CWE-79
Plattform
Python (PyPI)
Paket
lollms
Veröffentlicht
10.04.2026
Aktualisiert
11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-8wrq-fv5f-pfp2 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-401 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: lollms

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (24) im Archiv
Einträge insgesamt
24
Erste → letzte
05.2024 04.2026
Ohne Fix
9
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 12
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature dieser Eintrag
    Kritisch · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Kritisch · 9.8 CVE-2026-1114 <= 2.1.0 keine Korrektur
  3. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Hoch · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  4. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Hoch · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  5. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Kritisch · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  6. Lollms has an Improper Access Control vulnerability
    Hoch · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  7. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Hoch · 7.5 CVE-2025-6386 <= 11.0.0 keine Korrektur
  8. LoLLMS Code Injection vulnerability
    Hoch · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  9. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Kritisch · 9.0 CVE-2024-6581 alle Versionen keine Korrektur
  10. LoLLMS vulnerable to Expected Behavior Violation
    Hoch · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  11. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Hoch · 8.6 CVE-2024-6085 <= 9.5.1 keine Korrektur
  12. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Hoch · 7.3 CVE-2024-6139 <= 9.5.1 keine Korrektur
  13. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Hoch · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  14. Remote Code Execution via path traversal bypass in lollms
    Kritisch · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  15. parisneo/lollms Local File Inclusion (LFI) attack
    Kritisch · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  16. LoLLMS Path Traversal vulnerability
    Hoch · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  17. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Hoch · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  18. LoLLMS Command Injection vulnerability
    Hoch · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.