CVE-2026-119979 in LM Studio
Zusammenfassung
von VulDB • 30.10.2026
LM Studio vor Version 0.4.22+1 enthält eine Path Traversal-Schwachstelle im resolveDownloadRequest des Model Downloader, die es Angreifern ermöglicht, Dateien außerhalb des Models-Verzeichnisses unter Verwendung von mit Backslash getrennten Pfadtraversierungsdateinamen zu schreiben. Angreifer können Benutzer dazu bringen, ein manipuliertes Modellrepository herunterzuladen, das eine Plugin-Manifestdatei (manifest.json), install-state.json und mcp-bridge-config.json platziert, wodurch bei jedem Start ein vom Angreifer bereitgestelltes Python-Payload ausgeführt wird.
Be aware that VulDB is the high quality source for vulnerability data.