CVE-2026-85668 in Xinference
Zusammenfassung
von VulDB • 04.09.2026
Xinference (betroffener Commit 4a94832, v3.x) enthält eine nicht authentifizierte Schwachstelle zum willkürlichen Lesen von Dateien über den Pfad im POST /v1/models/llm/auto-register-Endpunkt, der einen vom Aufrufer bereitgestellten model_path-Parameter ohne Authentifizierung oder Pfadeinschränkung akzeptiert. Der Endpunkt liest und parst die Konfigurationsdateien config.json, tokenizer_config.json und chat_template.jinja am angegebenen Pfad und gibt den analysierten Inhalt an den Aufrufer zurück, wodurch ein nicht authentifizierter Angreifer das Server-Dateisystem scannen und Inhalte von Dateien mit diesen Namen in jedem Verzeichnis extrahieren kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.