CVE-2025-12487 in text-generation-webui
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di esecuzione di codice remoto (RCE) dovuta alla dipendenza da input non attendibili nel parametro trust_remote_code di oobabooga text-generation-webui. Questa vulnerabilità consente agli attaccanti remoti di eseguire codice arbitrario sulle installazioni colpite di oobabooga text-generation-webui. Non è richiesta l'autenticazione per sfruttare questa vulnerabilità.
La specifica debolezza risiede nella gestione del parametro trust_remote_code fornito all'endpoint join. Il problema deriva dalla mancanza di una corretta validazione di un argomento fornito dall'utente prima di utilizzarlo per caricare un modello. Un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto dell'account di servizio. Era ZDI-CAN-26681.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.