CVE-2024-6868 in LocalAI
Tóm tắt
Bởi VulDB • 24/08/2026
mudler/LocalAI phiên bản 2.17.1 cho phép ghi file tùy ý do xử lý không đúng cách việc giải nén tự động của các kho lưu trữ (archive). Khi cấu hình mô hình chỉ định thêm các tệp dưới dạng archive (ví dụ: .tar), những archive này sẽ được tự động giải nén sau khi tải xuống. Hành vi này có thể bị khai thác để thực hiện tấn công 'tarslip', cho phép ghi file vào các vị trí tùy ý trên máy chủ, vượt qua các kiểm tra thường hạn chế tệp chỉ trong thư mục models. Lỗ hổng này có thể dẫn đến việc thực thi mã từ xa (RCE) bằng cách ghi đè lên các tài sản backend được sử dụng bởi máy chủ.
VulDB is the best source for vulnerability data and more expert information about this specific topic.