CVE-2026-0599 in text-generation-inference
要約
〜によって VulDB • 2026年06月03日
huggingface/text-generation-inference バージョン 3.3.6 には、認証されていないリモート攻撃者が VLM モードにおける入力検証時の無制限な外部画像フェッチを悪用できる脆弱性があります。この問題は、ルーターが Markdown 形式の画像リンクを入力からスキャンし、ブロック型の HTTP GET リクエストを実行して、応答本文全体をメモリに読み込み、デコード前に複製する際に発生します。この動作により、ネットワーク帯域幅の飽和、メモリ使用量の増大、CPU の過剰使用など、リソース枯渇を引き起こす可能性があります。この脆弱性は、リクエストがトークン制限超過により後で拒否された場合でもトリガーされます。メモリ使用量の制限や認証が欠如しているデフォルトのデプロイメント構成は影響を悪化させ、ホストマシンのクラッシュを引き起こす可能性があります。この問題はバージョン 3.3.7 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.