CVE-2024-9901 in localai

摘要

由 VulDB • 2026-07-18

LocalAI 版本 v2.19.4（af0545834fd565ab56af0b9348550ca9c3cb5349）存在一个漏洞，其中删除模型 API 在网页生成过程中未能正确对输入进行净化处理，导致出现一次性的存储型跨站脚本（XSS）漏洞。该漏洞允许攻击者存储恶意负载，当用户访问主页时便会执行。此外，由于存在跨站请求伪造（CSRF），可启用恶意的自动化请求。

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• 负责: @huntr Ai
• 预定: 2024-10-12
• 披露: 2025-03-20
• 管理: 已接受
• 条目: VDB-300470
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 3.4 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-9901
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-9901
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-9901/