Vulnerabilidad en parisneo/lollms (CVE-2024-5443)

CVE-2024-4320 describe una vulnerabilidad en el software parisneo/lollms, específicamente dentro de la función `ExtensionBuilder().build_extension()`. La vulnerabilidad surge del endpoint `/mount_extension`, donde un problema de path traversal permite a los atacantes navegar más allá de la estructura de directorios prevista. Esto se ve facilitado por los parámetros `data.category` y `data.folder` que aceptan cadenas vacías (`""`), lo que, debido a una sanitización de entrada inadecuada, puede conducir a la construcción de un `package_path` que apunte al directorio raíz. En consecuencia, si un atacante puede crear un archivo `config.yaml` en una ruta controlable, esta ruta puede agregarse a la lista de `extensiones` y desencadenar la ejecución de `__init__.py` en el directorio actual, lo que lleva a la ejecución remota de código. La vulnerabilidad afecta a las versiones hasta la 5.9.0 y se solucionó en la versión 9.8.