🇰🇷 한글 설명
parisneo/lollms 2.2.0 이전 버전의 AppLollmsMessage 클래스 from_dict 메서드에서, 사용자가 제공한 데이터를 역직렬화할 때 content 필드에 대한 살균 또는 HTML 인코딩이 이루어지지 않아 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자는 악성 HTML 또는 JavaScript 페이로드를 삽입하여 다른 사용자의 브라우저에서 실행시킬 수 있습니다. 이를 통해 계정 탈취, 세션 하이재킹, 웜 형태의 확산 공격이 가능합니다.
💡 쉬운 설명
사용자가 보낸 메시지 내용을 검사 없이 그대로 처리하는 문제입니다. 공격자가 메시지에 악성 스크립트를 숨기면 다른 사용자가 그 메시지를 볼 때 스크립트가 실행됩니다.
🇺🇸 원문 (English)
A Cross-site Scripting (XSS) vulnerability was identified in the `from_dict` method of the `AppLollmsMessage` class in parisneo/lollms prior to version 2.2.0. The vulnerability arises from the lack of sanitization or HTML encoding of the `content` field when deserializing user-provided data. This allows an attacker to inject malicious HTML or JavaScript payloads, which can be executed in the context of another user's browser. Exploitation of this vulnerability can lead to account takeover, session hijacking, or wormable attacks.
📍 영향받는 시스템
parisneo/lollms 2.2.0 미만 버전
⚔️ 공격 벡터
악성 스크립트가 포함된 메시지를 전송해 다른 사용자의 브라우저에서 실행되도록 유도
🛡️ 대응 방법
parisneo/lollms를 2.2.0 이상으로 업데이트하고 사용자 입력값에 HTML 인코딩 및 살균 처리를 적용
🔧 검증 코드
출력된 버전이 2.2.0 미만이면 취약하며, 2.2.0 이상이면 패치가 적용된 것입니다. 명령 결과가 없으면 lollms가 설치되어 있지 않은 것입니다.
pip show lollms 2>/dev/null | grep -i '^version'