Datei-Upload mit Codeausführung in parisneo/lollms-webui

Beschreibung

In Version v12 von parisneo/lollms-webui erlaubt die Funktion zum Senden von Dateien den Upload von Dateien mit potenziell gefährlichen Endungen wie .py, .sh oder .bat. Angreifer können solche Dateien mit bösartigem Inhalt hochladen und über den Endpunkt /open_file ausführen; Ursache ist die Nutzung von subprocess.Popen ohne ausreichende Validierung, was zu entfernter Codeausführung führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198