CVE-2026-44648 in SillyTavern
الملخص
بحسب VulDB • 01/06/2026
SillyTavern هو واجهة مستخدم تُثبَّت محلياً وتتيح للمستخدمين التفاعل مع نماذج لغوية كبيرة لتوليد النصوص، ومحركات توليد الصور، ونماذج تحويل النص إلى كلام. قبل الإصدار 1.18.0، يعتمد SillyTavern على جلسة ملفات تعريف الارتباط (cookie-session) للمصادقة، حيث يخزن جميع بيانات الجلسة (اسم المستخدم، الأذونات) في ملف تعريف ارتباط موقَّع. تُحدِّث نقاط النهاية POST /api/users/change-password وPOST /api/users/recover-step2 تجزئة كلمة المرور في قاعدة البيانات فقط، ولا تقوم بإنهاء الجلسات الحالية. ونظراً لأن الجلسة عديمة الحالة (stateless) ومخزَّنة بالكامل في ملف تعريف الارتباط الخاص بالعميل، فلا توجد آلية على جانب الخادم لسحب صلاحية الرمز (token) بمجرد إصداره. تم إصلاح هذا الثغرة في الإصدار 1.18.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.