Iniciar sesión
Deutsch English Español Polski
Baja

Lord of Large Language Models (LoLLMs) Server path traversal vulnerability in lollms_file_system.py

  • Publicada: 11.10.2024
  • Actualizado: 11.10.2026 13:18

A path traversal vulnerability exists in the ParisNeo/lollms repository, specifically in the lollms_file_system.py file. The functions add_rag_database, toggle_mount_rag_database, and vectorize_folder do not implement security measures such as sanitize_path_from_endpoint or sanitize_path. This allows an attacker to perform vectorize operations on .sqlite files in any directory on the victim's computer, potentially installing multiple packages and causing a crash.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) lollms <= 9.5.1 sin corrección

Referencias

Puntuación CVSS 3.4/10
Vector CVSS
CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:L
Debilidad (CWE)
CWE-22
Plataforma
Python (PyPI)
Paquete
lollms
Publicada
11.10.2024
Actualizado
11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-1585 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-7pgr-32fx-c6x9 - CC BY 4.0

Historial de vulnerabilidades: lollms

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (24) en el archivo
Entradas en total
24
Primera → última
05.2024 04.2026
Sin corrección
9
Explotada en ataques
0

Distribución por gravedad

  • Crítica 6
  • Alta 12
  • Media 5
  • Baja 1

Divulgaciones por año

Gravedad:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Crítica · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Crítica · 9.8 CVE-2026-1114 <= 2.1.0 sin corrección
  3. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Alta · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  4. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Alta · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  5. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Crítica · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  6. Lollms has an Improper Access Control vulnerability
    Alta · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  7. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Alta · 7.5 CVE-2025-6386 <= 11.0.0 sin corrección
  8. LoLLMS Code Injection vulnerability
    Alta · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  9. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Crítica · 9.0 CVE-2024-6581 todas las versiones sin corrección
  10. Lord of Large Language Models (LoLLMs) Server path traversal vulnerability in lollms_file_system.py esta entrada
    Baja · 3.4 CVE-2024-6971 <= 9.5.1 sin corrección
  11. LoLLMS vulnerable to Expected Behavior Violation
    Alta · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  12. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Alta · 8.6 CVE-2024-6085 <= 9.5.1 sin corrección
  13. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Alta · 7.3 CVE-2024-6139 <= 9.5.1 sin corrección
  14. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Alta · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  15. Remote Code Execution via path traversal bypass in lollms
    Crítica · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  16. parisneo/lollms Local File Inclusion (LFI) attack
    Crítica · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  17. LoLLMS Path Traversal vulnerability
    Alta · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  18. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Alta · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  19. LoLLMS Command Injection vulnerability
    Alta · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.