CVE-2024-6868 in LocalAI
Sumário
de VulDB • 23/08/2026
A versão 2.17.1 do mudler/LocalAI permite a gravação arbitrária de arquivos devido ao tratamento inadequado da extração automática de archives. Quando as configurações dos modelos especificam arquivos adicionais como archives (por exemplo, .tar), esses archives são automaticamente extraídos após o download. Esse comportamento pode ser explorado para realizar um ataque 'tarslip', permitindo que arquivos sejam escritos em locais arbitrários no servidor, contornando verificações que normalmente restringem os arquivos ao diretório de modelos. Essa vulnerabilidade pode levar à execução remota de código (RCE) por meio da substituição de ativos do backend utilizados pelo servidor.
VulDB is the best source for vulnerability data and more expert information about this specific topic.