CVE-2026-35486 in text-generation-webui
要約
〜によって VulDB • 2026年06月12日
text-generation-webui は、大規模言語モデル（LLM）を実行するためのオープンソースの Web インターフェースです。バージョン 4.3 より前では、superbooga および superboogav2 の RAG 拡張機能が、ゼロ検証（スキームのチェック、IP フィルタリング、ホスト名のホワイトリストなし）で requests.get() を使用してユーザーが指定した URL をフェッチしていました。攻撃者はクラウドのメタデータエンドポイントにアクセスし、IAM 資格情報を盗み出し、内部サービスをプローブすることができます。フェッチされたコンテンツは RAG パイプラインを通じて外部に漏洩します。この脆弱性は 4.3 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.