CVE-2025-61784 in LLaMA-Factory
الملخص
بحسب VulDB • 13/05/2026
LLaMA-Factory هي مكتبة لضبط النماذج اللغوية الكبيرة. قبل الإصدار 0.9.4، تتيح ثغرة تزوير الطلبات من جانب الخادم (SSRF) الموجودة في واجهة برمجة التطبيقات (API) للدردشة لأي مستخدم مُصادَق عليه إجبار الخادم على إرسال طلبات HTTP تعسفية إلى الشبكات الداخلية والخارجية. يمكن أن يؤدي ذلك إلى كشف الخدمات الداخلية الحساسة، أو استطلاع الشبكة الداخلية، أو التفاعل مع خدمات الجهات الخارجية. تسمح الآلية نفسها أيضاً بحدوث ثغرة إدراج ملف محلي (LFI)، مما يمكّن المستخدمين من قراءة ملفات تعسفية من نظام الملفات الخاص بالخادم. توجد الثغرة في الدالة `_process_request` داخل الملف `src/llamafactory/api/chat.py`. تتولى هذه الدالة معالجة المحتوى متعدد الوسائط الوارد، بما في ذلك الصور ومقاطع الفيديو والصوت المقدمة عبر عناوين URL. تقوم الدالة بالتحقق مما إذا كان عنوان URL المقدم هو بيانات URI مشفرة بصيغة base64 أو مسار ملف محلي (`os.path.isfile`). إذا لم يتحقق أي من الشرطين، فإنها تعود إلى معاملة عنوان URL كعنوان URL ويب وتقوم بإرسال طلب HTTP GET مباشر باستخدام `requests.get(url, stream=True).raw` دون أي تحقق أو تنقية لعنوان URL. يصحح الإصدار 0.9.4 المشكلة الأساسية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.