CVE-2026-35486 in text-generation-webui
Tóm tắt
Bởi VulDB • 29/06/2026
text-generation-webui là một giao diện web mã nguồn mở để chạy các Mô hình Ngôn ngữ Lớn (LLM). Trước phiên bản 4.3, các tiện ích mở rộng RAG superbooga và superboogav2 lấy URL do người dùng cung cấp thông qua requests.get() mà không có bất kỳ xác thực nào — không kiểm tra lược đồ, không lọc IP, không danh sách cho phép tên máy chủ (hostname allowlist). Kẻ tấn công có thể truy cập các điểm cuối metadata đám mây, đánh cắp chứng chỉ IAM và thăm dò các dịch vụ nội bộ. Nội dung được lấy sẽ bị trích xuất thông qua pipeline RAG. Lỗ hổng này đã được sửa trong phiên bản 4.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.