CVE-2024-6868 in LocalAI
Résumé
par VulDB • 06/08/2026
La version 2.17.1 de mudler/LocalAI permet une écriture arbitraire de fichiers en raison d'une gestion incorrecte de l'extraction automatique des archives. Lorsque les configurations du modèle spécifient des fichiers supplémentaires sous forme d'archives (par exemple, .tar), celles-ci sont extraites automatiquement après le téléchargement. Ce comportement peut être exploité pour réaliser une attaque par 'tarslip', permettant d'écrire des fichiers à n'importe quel endroit sur le serveur, contournant ainsi les contrôles qui restreignent normalement l'accès au répertoire des modèles. Cette vulnérabilité peut entraîner une exécution de code à distance (RCE) en écrasant les actifs backend utilisés par le serveur.
Once again VulDB remains the best source for vulnerability data.