Zaloguj się
Deutsch English Español Polski
Średnia

parisneo/lollms has an insufficient session expiration vulnerability

  • Ujawniono: 08.04.2026
  • Aktualizacja: 11.10.2026 14:18

An insufficient session expiration vulnerability exists in the latest version of parisneo/lollms. The application fails to invalidate active sessions after a password reset, allowing an attacker to continue using an old session token. This issue arises due to the absence of logic to reject requests after a period of inactivity and the excessively long default session duration of 31 days. The vulnerability enables an attacker to maintain persistent access to a compromised account, even after the victim resets their password.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) lollms <= 11.0.0 brak poprawki

Odnośniki

Ocena CVSS 4.1/10
Wektor CVSS
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L
Słabość (CWE)
CWE-613
Platforma
Python (PyPI)
Paczka
lollms
Ujawniono
08.04.2026
Aktualizacja
11.10.2026 14:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2612 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8jg2-726g-xh43 - CC BY 4.0

Historia podatności: lollms

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (24) w archiwum
Wszystkich wpisów
24
Pierwsza → ostatnia
05.2024 04.2026
Bez poprawki
9
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 12
  • Średnia 5
  • Niska 1

Ujawnienia w latach

Istotność:
  1. parisneo/lollms vulnerable to stored XSS in the social feature
    Krytyczna · 9.6 CVE-2026-1115 < 2.2.0 2.2.0
  2. parisneo/lollms has an insufficient session expiration vulnerability ten wpis
    Średnia · 4.1 CVE-2026-1163 <= 11.0.0 brak poprawki
  3. In parisneo/lollms version 2.1.0, the application's session management is vulnerable to improper access control due to the use of a weak secret key for signing JSON Web Tokens (JWT). This vulnerabilit
    Krytyczna · 9.8 CVE-2026-1114 <= 2.1.0 brak poprawki
  4. A Server-Side Request Forgery (SSRF) vulnerability exists in parisneo/lollms versions prior to 2.2.0, specifically in the `/api/files/export-content` endpoint. The `_download_image_to_temp()` function
    Wysoka · 7.5 CVE-2026-0560 < 2.1.1 2.1.1
  5. A critical security vulnerability in parisneo/lollms versions up to 2.2.0 allows any authenticated user to accept or reject friend requests belonging to other users. The `respond_request()` function i
    Wysoka · 8.3 CVE-2026-0562 < 2.1.1 2.1.1
  6. A vulnerability in parisneo/lollms, up to and including version 2.2.0, allows unauthenticated users to upload and process files through the `/api/files/extract-text` endpoint. This endpoint does not e
    Krytyczna · 9.8 CVE-2026-0558 < 2.1.1 2.1.1
  7. Lollms has an Improper Access Control vulnerability
    Wysoka · 8.2 CVE-2026-1117 < 2.1.0 2.1.0
  8. Lord of Large Language Models vulnerable to Observable Discrepancy attack via authenticate_user function
    Wysoka · 7.5 CVE-2025-6386 <= 11.0.0 brak poprawki
  9. LoLLMS Code Injection vulnerability
    Wysoka · 8.4 CVE-2024-6982 < 11.0.0 11.0.0
  10. A vulnerability in the discussion image upload function of the Lollms application, version v9.9, allows for the uploading of SVG files. Due to incomplete filtering in the sanitize_svg function, this c
    Krytyczna · 9.0 CVE-2024-6581 wszystkie wersje brak poprawki
  11. LoLLMS vulnerable to Expected Behavior Violation
    Wysoka · 7.3 CVE-2024-6281 < 9.5.1 9.5.1
  12. lollms vulnerable to path traversal due to unauthenticated root folder settings change
    Wysoka · 8.6 CVE-2024-6085 <= 9.5.1 brak poprawki
  13. lollms vulnerable to dot-dot-slash path traversal in XTTS server
    Wysoka · 7.3 CVE-2024-6139 <= 9.5.1 brak poprawki
  14. lollms path traversal vulnerability allows overriding of config.yaml file, leading to RCE
    Wysoka · 7.4 CVE-2024-5824 < 9.5.0 9.5.0
  15. Remote Code Execution via path traversal bypass in lollms
    Krytyczna · 9.8 CVE-2024-5443 >= 5.9.0, < 9.5.1 9.5.1
  16. parisneo/lollms Local File Inclusion (LFI) attack
    Krytyczna · 9.1 CVE-2024-4315 < 9.5.0 9.5.0
  17. LoLLMS Path Traversal vulnerability
    Wysoka · 9.8 CVE-2024-3429 < 9.5.0 9.5.0
  18. A path traversal vulnerability exists in the parisneo/lollms application, affecting version 9.4.0 and potentially earlier versions, but fixed in version 5.9.0. The vulnerability arises due to improper
    Wysoka · 7.5 CVE-2024-4881 < 5.9.0 5.9.0
  19. LoLLMS Command Injection vulnerability
    Wysoka · 9.8 CVE-2024-4078 < 9.5.0 9.5.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.