Gregory Tan

**Nome do Software Vulnerável e Versões Afetadas** Axolotl versões anteriores a 0.18.1 **Descrição** Um problema de execução remota de código existe no caminho de patch multipack. A guarda de segurança é ignorada porque a variável `trust remote code` assume o valor padrão None em vez de False. Um invasor pode executar código Python arbitrário ao fornecer um repositório de modelo do Hugging Face malicioso como o `base model`, que é então carregado com `trust remote code=True` durante a chamada da função `AutoModelForCausalLM.from pretrained()`. **Recomendações** Atualize o Axolotl para a versão 0.18.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Headroom (versões afetadas não especificadas) **Descrição** O proxy de LLM permite que clientes especifiquem o destino upstream usando o cabeçalho de requisição `x-headroom-base-url`. As funções ` resolve openai upstream base()` em headroom/proxy/handlers/openai.py e ` select passthrough base url()` em headroom/providers/proxy routes.py processam esse cabeçalho sem validar o destino. A ausência de validação para endereços de loopback, link-local ou RFC 1918 permite que requisições alcancem serviços internos e endereços de metadados de nuvem, expondo suas respostas ao solicitante. Além disso, o cabeçalho `Authorization` é encaminhado inalterado para o host especificado pelo cliente. Quando implantado usando o docker-compose.yml de referência com `--host 0.0.0.0` e sem um `HEADROOM PROXY TOKEN`, essas rotas do plano de dados ficam expostas à rede sem autenticação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Headroom (versões afetadas não especificadas) **Descrição** O proxy de LLM deriva o proprietário da memória a partir do cabeçalho de requisição `x-headroom-user-id`. Este cabeçalho é lido diretamente em `headroom/proxy/handlers/openai.py`, especificamente nos caminhos de conclusão de chat e websocket, sem verificar o valor em relação ao chamador real. Consequentemente, um cliente pode se passar por outro usuário fornecendo seu identificador para ler ou gravar a memória de LLM armazenada desse usuário. Implantações que utilizam o arquivo docker-compose.yml de referência estão particularmente expostas, pois podem ser enviadas com `--host 0.0.0.0` e sem a necessidade de um `HEADROOM PROXY TOKEN`, deixando as rotas do plano de dados acessíveis à rede sem autenticação. **Recomendações** Atualize o software para a versão que implementa a função `resolve memory identity` em `headroom/proxy/identity.py` para garantir que o cabeçalho `x-headroom-user-id` seja honrado apenas para chamadores de loopback ou em lista de permissões. Evite implantar o proxy com `--host 0.0.0.0` sem um `HEADROOM PROXY TOKEN` configurado para evitar acesso não autorizado à rede.

**Nome do Software Vulnerável e Versões Afetadas** marimo versões anteriores a 0.23.15 **Description** Uma falha de injeção de código existe no manipulador de configuração do notebook. Atacantes podem executar comandos arbitrários ao incorporar uma entrada de servidor MCP manipulada com um valor de `command` controlado dentro de um notebook. Quando o notebook é aberto em modo de edição, o software inicia o comando especificado como um subprocesso local antes que qualquer célula do notebook seja executada. Este processo não requer autenticação ou execução de célula para ser acionado. A exploração no mundo real foi observada onde atacantes utilizam este método para alcançar a escalada de privilégios e movimentação lateral em cargas de trabalho em nuvem conectadas. **Recommendations** Atualize o marimo para a versão 0.23.15.

**Nome do Software Vulnerável e Versões Afetadas** marimo versões anteriores a 0.23.15 **Description** Ocorre uma injeção de configuração devido à sanitização insuficiente na função `sanitize pyproject dict()`. Isso permite que autores de notebooks incorporem um `base url` malicioso nos metadados de script inline PEP-723. Como esses metadados são mesclados à configuração da sessão com maior precedência do que as configurações do operador, um invasor pode exfiltrar chaves de API. Quando um operador abre um notebook manipulado e inicia uma solicitação de IA, o sistema utiliza o `base url` controlado pelo invasor enquanto utiliza a variável de ambiente `OPENAI API KEY` do operador para autenticação, enviando a chave para o endpoint externo sem a necessidade de execução de qualquer célula. **Recommendations** Atualize para a versão 0.23.15 ou posterior.