CVE-2024-3135

mudler/localai (versões afetadas não especificadas)

Existe uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF), que permite que invasores criem páginas da web maliciosas para realizar ações não autorizadas na instância local do LocalAI da vítima, sem o seu consentimento. Isso permite que invasores esgotem os recursos do sistema, consumam créditos e ocupem espaço em disco ao realizar inúmeras chamadas de API que consomem muitos recursos, como a geração de imagens ou o upload de arquivos. A vulnerabilidade decorre da aceitação, pelo aplicativo, de tipos de conteúdo de solicitação simples sem exigir tokens CSRF ou implementar outras medidas de mitigação de CSRF. A exploração bem-sucedida não requer acesso à rede do ambiente LocalAI vulnerável.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.