CVE-2024-5616

mudler/LocalAI, versões até e incluindo a 2.15.0

Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF), permitindo que invasores induzam as vítimas a excluir modelos instalados por meio da criação de uma página HTML maliciosa. Isso pode causar a exclusão de um modelo, como gpt-4-vision-preview, sem o consentimento da vítima. O problema se deve a mecanismos insuficientes de proteção contra CSRF na funcionalidade de exclusão de modelos.

Para versões do mudler/LocalAI até e incluindo a 2.15.0, considere desativar a funcionalidade de exclusão de modelos até que um patch esteja disponível para impedir a exploração. Restrinja o acesso ao endpoint da API de exclusão de modelos para minimizar o risco de exploração. Evite usar o recurso de exclusão de modelos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.