Anmelden
Deutsch English Español Polski
Mittel

parisneo/lollms has an insufficient session expiration vulnerability

  • Veröffentlicht: 08.04.2026
  • Aktualisiert: 11.10.2026 14:18

An insufficient session expiration vulnerability exists in the latest version of parisneo/lollms. The application fails to invalidate active sessions after a password reset, allowing an attacker to continue using an old session token. This issue arises due to the absence of logic to reject requests after a period of inactivity and the excessively long default session duration of 31 days. The vulnerability enables an attacker to maintain persistent access to a compromised account, even after the victim resets their password.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) lollms <= 11.0.0 keine Korrektur

Verweise

CVSS-Wert 4.1/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L
Schwäche (CWE)
CWE-613
Plattform
Python (PyPI)
Paket
lollms
Veröffentlicht
08.04.2026
Aktualisiert
11.10.2026 14:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-2612 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8jg2-726g-xh43 - CC BY 4.0

Schwachstellenhistorie: lollms

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (24) im Archiv
Einträge insgesamt
24
Erste → letzte
05.2024 04.2026
Ohne Fix
9
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 12
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Kritisch · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. parisneo/lollms has an insufficient session expiration vulnerability dieser Eintrag
    Mittel · 4.1 CVE-2026-1163 <= 11.0.0 keine Korrektur
  3. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Kritisch · 9.8 CVE-2026-1114 <= 2.1.0 keine Korrektur
  4. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Hoch · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  5. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Hoch · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  6. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Kritisch · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  7. Lollms has an Improper Access Control vulnerability
    Hoch · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  8. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Hoch · 7.5 CVE-2025-6386 <= 11.0.0 keine Korrektur
  9. LoLLMS Code Injection vulnerability
    Hoch · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  10. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Kritisch · 9.0 CVE-2024-6581 alle Versionen keine Korrektur
  11. LoLLMS vulnerable to Expected Behavior Violation
    Hoch · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  12. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Hoch · 8.6 CVE-2024-6085 <= 9.5.1 keine Korrektur
  13. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Hoch · 7.3 CVE-2024-6139 <= 9.5.1 keine Korrektur
  14. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Hoch · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  15. Remote Code Execution via path traversal bypass in lollms
    Kritisch · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  16. parisneo/lollms Local File Inclusion (LFI) attack
    Kritisch · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  17. LoLLMS Path Traversal vulnerability
    Hoch · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  18. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Hoch · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  19. LoLLMS Command Injection vulnerability
    Hoch · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.