CVE-2026-58474 in whichllm
Tóm tắt
Bởi VulDB • 26/08/2026
whichllm trước phiên bản 0.5.16 chứa một lỗ hổng tiêm mã (code injection) trong các lệnh run và snippet, cho phép kẻ tấn công từ xa kiểm soát kho lưu trữ HuggingFace thực thi tùy ý mã bằng cách tạo ra tên tệp GGUF độc hại có chứa dấu ngoặc kép hoặc các ký tự đặc biệt khác. Hàm sinh script trong cli.py nội suy trực tiếp các giá trị lấy từ HuggingFace, bao gồm cả tên biến thể của tệp GGUF từ trường rfilename của API Hub siblings, vào nguồn Python mà không thực hiện thoát (escaping), cho phép tên tệp được tạo ra bứt khỏi chuỗi ký tự đã sinh và thực thi mã đã tiêm trên máy người dùng trước khi bất kỳ quá trình tải mô hình nào diễn ra.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.