parisneo/lollms-webui v13 – Resource Exhaustion durch unbegrenzte Multipart-Boundary-Länge

Beschreibung

In parisneo/lollms-webui v13 validiert der Server beim Umgang mit Multipart-Boundaries bei Datei-Uploads weder die Länge der Boundary noch die angehängten Zeichen. Ein Angreifer kann dadurch laut NVD Anfragen mit übermässig langen Boundaries erzeugen, was zu Ressourcenerschöpfung und einem Denial of Service führt. Ein Patch in Commit 483431bb blockierte Bindestriche in der Boundary, reicht laut Quelle jedoch nicht aus, da sich die Schwachstelle mit anderen Zeichen weiterhin ausnutzen lässt. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ubiquiti

• Ubiquiti UniFi OS: unzureichende Zugriffskontrolle KEV CVE-2026-34908
• Ubiquiti UniFi OS: Path Traversal wird aktiv ausgenutzt KEV CVE-2026-34909
• Ubiquiti UniFi OS – Schwachstelle durch unzureichende Eingabevalidierung KEV CVE-2026-34910
• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Cisco IOS XE Web UI Command Injection Vulnerability KEV CVE-2023-20273
• Cisco IOS XE Web UI Privilege Escalation Vulnerability KEV CVE-2023-20198