Vulnerabilidad en parisneo/lollms-webui (CVE-2024-2356)

Una vulnerabilidad de inclusión local de ficheros (LFI) existe en el endpoint '/reinstall_extension' de la aplicación parisneo/lollms-webui, específicamente dentro del parámetro `name` de la ruta `@router.post("/reinstall_extension")`. Esta vulnerabilidad permite a los atacantes inyectar un parámetro `name` malicioso, lo que lleva al servidor a cargar y ejecutar ficheros Python arbitrarios del directorio de carga para discusiones. Este problema surge debido a la concatenación de `data.name` directamente con `lollmsElfServer.lollms_paths.extensions_zoo_path` y su uso como argumento para `ExtensionBuilder().build_extension()`. El manejo por parte del servidor del fichero `__init__.py` en ubicaciones arbitrarias, facilitado por `importlib.machinery.SourceFileLoader`, permite la ejecución de código arbitrario, como la ejecución de comandos o la creación de una conexión de shell inversa. Esta vulnerabilidad afecta a la última versión de parisneo/lollms-webui y puede conducir a la ejecución remota de código (RCE) cuando la aplicación está expuesta a un endpoint externo o a la interfaz de usuario, especialmente cuando está vinculada a `0.0.0.0` o en `modo headless`. No se requiere interacción del usuario para su explotación.