Anmelden
Deutsch English Español Polski
Mittel

A Cross-site Scripting (XSS) vulnerability was identified in the `from_dict` method of the `AppLollmsMessage` class in parisneo/lollms prior to version 2.2.0. The vulnerability arises from the lack of

  • Veröffentlicht: 12.04.2026
  • Aktualisiert: 11.10.2026 13:19

A Cross-site Scripting (XSS) vulnerability was identified in the from_dict method of the AppLollmsMessage class in parisneo/lollms prior to version 2.2.0. The vulnerability arises from the lack of sanitization or HTML encoding of the content field when deserializing user-provided data. This allows an attacker to inject malicious HTML or JavaScript payloads, which can be executed in the context of another user's browser. Exploitation of this vulnerability can lead to account takeover, session hijacking, or wormable attacks.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) lollms < 2.1.1 2.1.1

Verweise

CVSS-Wert 6.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE)
-
Plattform
Python (PyPI)
Paket
lollms
Veröffentlicht
12.04.2026
Aktualisiert
11.10.2026 13:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2200 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: lollms

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (24) im Archiv
Einträge insgesamt
24
Erste → letzte
05.2024 04.2026
Ohne Fix
9
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 12
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. A Cross-site Scripting (XSS) vulnerability was identified in the `from_dict` method of the `AppLollmsMessage` class in parisneo/lollms prior to version 2.2.0. The vulnerability arises from the lack of dieser Eintrag
    Mittel · 6.1 CVE-2026-1116 < 2.1.1 2.1.1
  2. parisneo/lollms vulnerable to stored XSS in the social feature
    Kritisch · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  3. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Kritisch · 9.8 CVE-2026-1114 <= 2.1.0 keine Korrektur
  4. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Hoch · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  5. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Hoch · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  6. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Kritisch · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  7. Lollms has an Improper Access Control vulnerability
    Hoch · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  8. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Hoch · 7.5 CVE-2025-6386 <= 11.0.0 keine Korrektur
  9. LoLLMS Code Injection vulnerability
    Hoch · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  10. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Kritisch · 9.0 CVE-2024-6581 alle Versionen keine Korrektur
  11. LoLLMS vulnerable to Expected Behavior Violation
    Hoch · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  12. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Hoch · 8.6 CVE-2024-6085 <= 9.5.1 keine Korrektur
  13. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Hoch · 7.3 CVE-2024-6139 <= 9.5.1 keine Korrektur
  14. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Hoch · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  15. Remote Code Execution via path traversal bypass in lollms
    Kritisch · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  16. parisneo/lollms Local File Inclusion (LFI) attack
    Kritisch · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  17. LoLLMS Path Traversal vulnerability
    Hoch · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  18. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Hoch · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  19. LoLLMS Command Injection vulnerability
    Hoch · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.