CVE-2024-11449

Nome do Software Vulnerável e Versões Afetadas haotian-liu/llava versão 1.2.0

Descrição Uma vulnerabilidade permite Falsificação de Solicitação do Lado do Servidor (SSRF) através do endpoint "/run/predict". Um atacante pode obter acesso não autorizado a redes internas ou ao endpoint de metadados da AWS enviando solicitações manipuladas que exploram a validação insuficiente do parâmetro path. Esta falha pode resultar em acesso não autorizado à rede, exposição de dados sensíveis e exploração adicional dentro da rede.

Recomendações Para haotian-liu/llava versão 1.2.0, considere desativar o acesso ao endpoint "/run/predict" até que uma correção esteja disponível. Restringir o uso do parâmetro path neste endpoint também pode ajudar a minimizar o risco de exploração.