CVE-2026-63764

Nome do Software Vulnerável e Versões Afetadas lmdeploy (versões afetadas não especificadas)

Descrição O servidor de API compatível com OpenAI está sujeito a server-side request forgery, uma falha na qual o servidor é enganado para fazer requisições a um local não pretendido. Atacantes não autenticados podem acessar serviços internos e endpoints de metadados de nuvem enviando uma requisição POST para o endpoint de chat completions usando um image url manipulado. O ataque envolve apontar o image url para um servidor controlado pelo atacante que retorna um redirecionamento HTTP 302 para endereços internos, como loopback ou endpoints de metadados de instância. Isso ignora a verificação de segurança inicial da URL porque o servidor segue os redirecionamentos sem revalidar cada salto através da guarda de segurança.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.