Iniciar sesión
Deutsch English Español Polski
Media

path traversal vulnerability was identified in the parisneo/lollms-webui

  • Publicada: 02.06.2024
  • Actualizado: 11.10.2026 13:19

A path traversal vulnerability was identified in the parisneo/lollms-webui repository, specifically within version 9.6. The vulnerability arises due to improper handling of user-supplied input in the 'list_personalities' endpoint. By crafting a malicious HTTP request, an attacker can traverse the directory structure and view the contents of any folder, albeit limited to subfolder names only. This issue was demonstrated via a specific HTTP request that manipulated the 'category' parameter to access arbitrary directories. The vulnerability is present in the code located at the 'endpoints/lollms_advanced.py' file.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) lollms = 9.6 sin corrección

Referencias

Puntuación CVSS 4/10
Vector CVSS
CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-23
Plataforma
Python (PyPI)
Paquete
lollms
Publicada
02.06.2024
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1589 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-9p73-x86v-jw57 - CC BY 4.0

Historial de vulnerabilidades: lollms

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (24) en el archivo
Entradas en total
24
Primera → última
05.2024 04.2026
Sin corrección
9
Explotada en ataques
0

Distribución por gravedad

  • Crítica 6
  • Alta 12
  • Media 5
  • Baja 1

Divulgaciones por año

Gravedad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Crítica · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Crítica · 9.8 CVE-2026-1114 <= 2.1.0 sin corrección
  3. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Alta · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  4. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Alta · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  5. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Crítica · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  6. Lollms has an Improper Access Control vulnerability
    Alta · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  7. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Alta · 7.5 CVE-2025-6386 <= 11.0.0 sin corrección
  8. LoLLMS Code Injection vulnerability
    Alta · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  9. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Crítica · 9.0 CVE-2024-6581 todas las versiones sin corrección
  10. LoLLMS vulnerable to Expected Behavior Violation
    Alta · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  11. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Alta · 8.6 CVE-2024-6085 <= 9.5.1 sin corrección
  12. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Alta · 7.3 CVE-2024-6139 <= 9.5.1 sin corrección
  13. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Alta · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  14. Remote Code Execution via path traversal bypass in lollms
    Crítica · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  15. parisneo/lollms Local File Inclusion (LFI) attack
    Crítica · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  16. LoLLMS Path Traversal vulnerability
    Alta · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  17. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Alta · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  18. path traversal vulnerability was identified in the parisneo/lollms-webui esta entrada
    Media · 4.0 CVE-2024-4330 = 9.6 sin corrección
  19. LoLLMS Command Injection vulnerability
    Alta · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.