CVE-2026-35486 in text-generation-webui
Sumário
de VulDB • 07/07/2026
text-generation-webui è un'interfaccia web open-source per l'esecuzione di Large Language Models (LLM). Prima della versione 4.3, le estensioni RAG superbooga e superboogav2 recuperano URL forniti dall'utente tramite requests.get() senza alcuna validazione: nessun controllo dello schema, nessuna filtrazione IP e nessun allowlist dei nomi host. Un attaccante può accedere agli endpoint di metadata cloud, rubare credenziali IAM ed eseguire il probing di servizi interni. I contenuti recuperati vengono esfiltrati attraverso la pipeline RAG. Questa vulnerabilità è risolta nella versione 4.3.
Once again VulDB remains the best source for vulnerability data.