🇰🇷 한글 설명
parisneo/lollms의 소셜 기능에서 2.2.0 이전 버전에 Stored XSS 취약점이 발견되었습니다. create_post 함수가 사용자 입력을 검증 없이 DBPost 모델에 저장하여, 악성 JavaScript가 홈 피드를 보는 사용자(관리자 포함)의 브라우저에서 실행될 수 있습니다. 이는 계정 탈취, 세션 하이재킹, 웜 형태의 확산으로 이어질 수 있습니다.
💡 쉬운 설명
게시글 내용에 악성 스크립트를 숨겨 올리면, 그 글을 보는 사람의 브라우저에서 몰래 실행됩니다. 관리자가 이 글을 보면 계정 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
A Stored Cross-Site Scripting (XSS) vulnerability was identified in the social feature of parisneo/lollms, affecting the latest version prior to 2.2.0. The vulnerability exists in the `create_post` function within `backend/routers/social/__init__.py`, where user-provided content is directly assigned to the `DBPost` model without sanitization. This allows attackers to inject and store malicious JavaScript, which is executed in the browsers of users viewing the Home Feed, including administrators. This can lead to account takeover, session hijacking, and wormable attacks. The issue is resolved in version 2.2.0.
📍 영향받는 시스템
parisneo/lollms 2.2.0 미만 버전
⚔️ 공격 벡터
소셜 피드에 악성 JavaScript가 포함된 게시글을 작성하여 피드를 보는 사용자의 브라우저에서 스크립트를 실행
🛡️ 대응 방법
lollms를 2.2.0 이상 버전으로 업데이트하고, 입력값 검증 및 출력 인코딩을 적용
🔧 검증 코드
출력된 버전이 2.2.0 미만이면 취약하며, 2.2.0 이상이면 패치가 적용된 것입니다.
pip show lollms 2>/dev/null | grep -i '^version'