Anmelden
Deutsch English Español Polski
Hoch

Lollms has an Improper Access Control vulnerability

  • Veröffentlicht: 02.02.2026
  • Aktualisiert: 11.10.2026 13:18

A vulnerability in the lollms_generation_events.py component of parisneo/lollms version 5.9.0 allows unauthenticated access to sensitive Socket.IO events. The add_events function registers event handlers such as generate_text, cancel_generation, generate_msg, and generate_msg_from without implementing authentication or authorization checks. This allows unauthenticated clients to execute resource-intensive or state-altering operations, leading to potential denial of service, state corruption, and race conditions. Additionally, the use of global flags (lollmsElfServer.busy, lollmsElfServer.cancel_gen) for state management in a multi-client environment introduces further vulnerabilities, enabling one client's actions to affect the server's state and other clients' operations. The lack of proper access control and reliance on insecure global state management significantly impacts the availability and integrity of the service.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) lollms < 2.1.0 2.1.0

Verweise

CVSS-Wert 8.2/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Schwäche (CWE)
CWE-284
Plattform
Python (PyPI)
Paket
lollms
Veröffentlicht
02.02.2026
Aktualisiert
11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-1586 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-82fw-ch24-j34w - CC BY 4.0

Schwachstellenhistorie: lollms

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (24) im Archiv
Einträge insgesamt
24
Erste → letzte
05.2024 04.2026
Ohne Fix
9
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 6
  • Hoch 12
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Kritisch · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Kritisch · 9.8 CVE-2026-1114 <= 2.1.0 keine Korrektur
  3. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Hoch · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  4. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Hoch · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  5. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Kritisch · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  6. Lollms has an Improper Access Control vulnerability dieser Eintrag
    Hoch · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  7. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Hoch · 7.5 CVE-2025-6386 <= 11.0.0 keine Korrektur
  8. LoLLMS Code Injection vulnerability
    Hoch · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  9. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Kritisch · 9.0 CVE-2024-6581 alle Versionen keine Korrektur
  10. LoLLMS vulnerable to Expected Behavior Violation
    Hoch · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  11. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Hoch · 8.6 CVE-2024-6085 <= 9.5.1 keine Korrektur
  12. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Hoch · 7.3 CVE-2024-6139 <= 9.5.1 keine Korrektur
  13. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Hoch · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  14. Remote Code Execution via path traversal bypass in lollms
    Kritisch · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  15. parisneo/lollms Local File Inclusion (LFI) attack
    Kritisch · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  16. LoLLMS Path Traversal vulnerability
    Hoch · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  17. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Hoch · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  18. LoLLMS Command Injection vulnerability
    Hoch · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.