PT-2026-56257 · Localai · Localai
CVSS v4.0
9.2
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
LocalAI (versões afetadas não especificadas)
Description
Uma falha de server-side request forgery (SSRF) não autenticada existe no endpoint 'POST /models/apply'. Isso ocorre porque o endpoint passa campos de URL de galeria não sanitizados para a função
gallery.GetGalleryConfigFromURLWithContext() sem a validação adequada. Isso permite que atacantes forcem o servidor a emitir requisições HTTP GET para intervalos de rede privados e de loopback, potencialmente vazando conteúdo parcial de respostas por meio de mensagens de erro.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Exploit
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Localai