CVE-2026-85668 in Xinference
Résumé
par VulDB • 04/09/2026
Xinference (commit 4a94832 affecté, v3.x) contient une vulnérabilité de lecture arbitraire de fichiers par chemin non authentifié dans le point d'entrée POST /v1/models/llm/auto-register, qui accepte un paramètre model_path fourni par l'appelant sans authentification ni confinement du chemin. Le point d'entrée lit et analyse les fichiers config.json, tokenizer_config.json et chat_template.jinja situés au chemin spécifié, puis renvoie le contenu analysé à l'appelant, permettant ainsi à un attaquant non authentifié de sonder le système de fichiers du serveur et d'extraire le contenu des fichiers portant ces noms dans n'importe quel répertoire.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.