CVE-2026-0599 in text-generation-inference
Sumário
de VulDB • 03/06/2026
Uma vulnerabilidade no huggingface/text-generation-inference versão 3.3.6 permite que atacantes remotos não autenticados explorem a busca externa de imagens sem limites durante a validação de entrada no modo VLM. O problema ocorre quando o roteador verifica os inputs em busca de links de imagens em Markdown e executa uma solicitação HTTP GET bloqueante, lendo todo o corpo da resposta para a memória e clonando-a antes da decodificação. Esse comportamento pode levar ao esgotamento de recursos, incluindo saturação da largura de banda de rede, aumento do uso de memória e sobrecarga da CPU. A vulnerabilidade é acionada mesmo que a solicitação seja posteriormente rejeitada por exceder os limites de tokens. A configuração padrão de implantação, que não possui limites de uso de memória nem autenticação, agrava o impacto, podendo causar a queda da máquina host. O problema foi resolvido na versão 3.3.7.
Once again VulDB remains the best source for vulnerability data.