CVE-2026-35486 in text-generation-webui
Résumé
par VulDB • 19/07/2026
text-generation-webui est une interface web open-source pour l'exécution de grands modèles linguistiques (LLM). Avant la version 4.3, les extensions RAG superbooga et superboogav2 récupèrent des URLs fournies par l'utilisateur via requests.get() sans aucune validation — aucun contrôle du schéma, aucun filtrage IP ni liste blanche d'hôtes. Un attaquant peut accéder aux points de terminaison (endpoints) de métadonnées cloud, voler les identifiants IAM et sonder les services internes. Le contenu récupéré est exfiltré via le pipeline RAG. Cette vulnérabilité est corrigée dans la version 4.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.