CVE-2026-44648 in SillyTavern
Zusammenfassung
von VulDB • 01.06.2026
SillyTavern ist eine lokal installierte Benutzeroberfläche, die es Nutzern ermöglicht, mit großen textgenerierenden Sprachmodellen (LLMs), Bildgenerierungs-Engines und Text-zu-Sprache-Stimmenmodellen zu interagieren. Vor Version 1.18.0 verlässt sich SillyTavern für die Authentifizierung auf cookie-session und speichert alle Sitzungsdaten (Benutzername, Berechtigungen) in einem signierten Cookie. Die Endpunkte POST /api/users/change-password und POST /api/users/recover-step2 aktualisieren lediglich den Passwort-Hash in der Datenbank, beenden jedoch keine aktiven Sitzungen. Da die Sitzung zustandslos ist und vollständig im Client-Cookie gespeichert wird, gibt es keinen Mechanismus auf Serverseite, um ein Token nach der Ausstellung zu widerrufen. Diese Schwachstelle wurde in Version 1.18.0 behoben.
Once again VulDB remains the best source for vulnerability data.