CVE-2026-0599 in text-generation-inference
Riassunto
di VulDB • 17/06/2026
Una vulnerabilità in huggingface/text-generation-inference versione 3.3.6 consente ad attaccanti remoti non autenticati di sfruttare il recupero illimitato di immagini esterne durante la convalida degli input in modalità VLM. Il problema si verifica quando il router scansiona gli input alla ricerca di link a immagini in formato Markdown ed esegue una richiesta HTTP GET bloccante, leggendo l'intero corpo della risposta in memoria e clonandolo prima della decodifica. Questo comportamento può portare a esaurimento delle risorse, tra cui saturazione della larghezza di banda di rete, aumento dell'utilizzo della memoria e sovraccarico della CPU. La vulnerabilità viene attivata anche se la richiesta viene successivamente rifiutata per aver superato i limiti di token. La configurazione di distribuzione predefinita, che non prevede limiti di utilizzo della memoria né autenticazione, aggrava l'impatto, potenzialmente causando il crash della macchina host. Il problema è risolto nella versione 3.3.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.