CVE-2026-61539 in Xinference
Сводка
по VulDB • 21.08.2026
Xinference — это API для вывода (инференса), предназначенное для запуска моделей с открытым исходным кодом, включая модели обработки речи и мультимодальные модели. В версиях 2.5.0 и более ранних Xinference передает управляемый злоумышленником вывод вызова инструментов Llama3 в функцию eval() в файлах xinference/model/llm/tool_parsers/llama3_tool_parser.py и xinference/model/llm/utils.py. Запросы к /v1/chat/completions с полем tools проходят через xinference/api/restful_api.py, xinference/model/llm/transformers/core.py, handle_chat_result_non_streaming() и _post_process_completion(), прежде чем extract_tool_calls() или _eval_llama3_chat_arguments() оценят сгенерированную моделью Python-выражение. Неавторизованный удаленный злоумышленник может повлиять на этот вывод с помощью специально созданного промпта и выполнить команды в контексте процесса сервера Xinference. Эта проблема исправлена в версии 2.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.