CVE-2026-0558: Upload de Arquivo Não Autenticado no parisneo/lollms
A CVE-2026-0558 afeta o parisneo/lollms e permite que usuários não autenticados enviem arquivos a um endpoint de extração de texto que não aplica a verificação de autenticação usada em outros endpoints de arquivos. A NVD atribui nota 9,8 (crítica) pelo CVSS 3.1, e a fraqueza associada é o CWE-287, Autenticação Imprópria. Nas fontes consultadas não há exploração confirmada, e o catálogo KEV da CISA não lista esta vulnerabilidade.
Visão geral
A CVE-2026-0558 é um problema de autenticação imprópria no parisneo/lollms. Segundo o registro, o endpoint de extração de texto em /api/files/extract-text processa arquivos enviados por usuários não autenticados, enquanto outros endpoints relacionados a arquivos da aplicação exigem um usuário ativo autenticado. O CNA é o @huntr_ai, e o registro foi publicado em 29/03/2026.
Impacto
- Negação de serviço por esgotamento de recursos, conforme descrito no registro.
- Possível divulgação de informações.
- Violação das políticas de segurança documentadas pela aplicação.
O vetor de CVSS da NVD, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, descreve acesso pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. As fontes não explicam como os efeitos descritos (DoS, divulgação e violação de políticas) se relacionam com esses componentes do vetor.
Produtos e versões afetados
- Lollms Lollms: 2.1.0 e anteriores, conforme o campo de produtos afetados do registro.
- Parisneo Parisneo/lollms: anteriores a 2.2.0, conforme o campo de produtos afetados do registro.
- A descrição indica que o problema vale até a versão 2.2.0 inclusive. Isso conflita com o campo de produtos afetados, e o registro não resolve a divergência.
- Um commit de correção é referenciado no registro. O registro não informa uma versão corrigida específica, portanto a primeira versão corrigida é desconhecida.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE. Nas fontes consultadas não há exploração ativa confirmada.
- Os dados SSVC do registro classificam a exploração como 'poc', indicando condição de prova de conceito, e não ataques observados.
- Uma referência está marcada como Exploit no registro, o que indica a existência de material relacionado a exploração no rastreador de recompensas.
- A probabilidade EPSS é 0,02047, com percentil de 0,81066, conforme registrado.
Correção e mitigação
- Aplique o commit de correção referenciado no registro ou migre para uma versão que o inclua. Confirme a versão corrigida nas notas de lançamento do mantenedor, pois o registro não a informa.
- Até a correção, restrinja o acesso de rede às instâncias do lollms para que apenas redes confiáveis alcancem a aplicação, e posicione-a atrás de um gateway autenticado.
- Trate a fronteira em 2.2.0 como incerta: considere sistemas nessa versão potencialmente afetados até a verificação.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições ao endpoint de extração de texto sem sessão autenticada.
- Monitore o uso de CPU, memória e disco em hosts com lollms, observando picos incomuns e sustentados coincidentes com o processamento de arquivos.
- Acompanhe o volume e a frequência de envios nas rotas de processamento de arquivos e gere alertas para padrões anormais.
Limitações das informações disponíveis
- O registro conflita quanto à afetação da versão 2.2.0.
- O registro não informa uma versão corrigida específica.
- O registro não traz análise técnica detalhada do caminho de código.
- A data do EPSS está registrada como 2026-10-23, o que o registro não explica.
- Apenas as páginas da NVD e do CVE Program, o commit de correção e a página de recompensas do huntr estavam disponíveis como fontes.
Perguntas frequentes
A CVE-2026-0558 está sendo explorada na prática?
O catálogo KEV da CISA não lista esta CVE, e nas fontes consultadas não há exploração ativa confirmada. O registro mostra status SSVC de prova de conceito e uma referência marcada como Exploit.
Quais versões são afetadas?
O campo de produtos afetados indica 2.1.0 e anteriores para o Lollms e anteriores a 2.2.0 para o Parisneo/lollms, enquanto a descrição fala em até 2.2.0 inclusive. As fontes divergem sobre a afetação da versão 2.2.0.
O que os administradores devem fazer agora?
Aplique o commit de correção referenciado no registro ou uma versão que o inclua, e restrinja o acesso de rede às instâncias do lollms até que a correção esteja instalada. Verifique a versão corrigida, pois o registro não a informa.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.