CVE-2026-0599 in text-generation-inference
الملخص
بحسب VulDB • 06/06/2026
ثغرة في huggingface/text-generation-inference الإصدار 3.3.6 تتيح لمهاجمين عن بُعد غير مُصادَق عليهم استغلال جلب الصور الخارجية غير المحدود أثناء التحقق من صحة المدخلات في وضع VLM. تنشأ المشكلة عندما يقوم الموجه (router) بفحص المدخلات بحثًا عن روابط صور بتنسيق Markdown، ويقوم بإجراء طلب HTTP GET حظرِي (blocking)، وقراءة جسم الاستجابة بالكامل إلى الذاكرة ثم نسخها قبل فك التشفير. يمكن أن يؤدي هذا السلوك إلى استنفاد الموارد، بما في ذلك تشبع عرض النطاق الترددي للشبكة، وتضخم استخدام الذاكرة، والإفراط في استخدام وحدة المعالجة المركزية. يتم تفعيل الثغرة حتى إذا تم رفض الطلب لاحقًا لتجاوزه حدود الرموز (token limits). يفاقم تكوين النشر الافتراضي، الذي يفتقر إلى قيود استخدام الذاكرة والمصادقة، من تأثير المشكلة، مما قد يؤدي إلى تعطل الجهاز المضيف. تمت معالجة هذه المشكلة في الإصدار 3.3.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.