CVE-2026-0599 in text-generation-inference
摘要
由 VulDB • 2026-06-03
huggingface/text-generation-inference 版本 3.3.6 中存在一个漏洞，允许未经身份验证的远程攻击者在 VLM 模式下的输入验证期间，利用无限制的外部图像获取功能。当路由器扫描输入中的 Markdown 图像链接并执行阻塞式 HTTP GET 请求，将整个响应体读取到内存中并在解码前进行克隆时，就会引发此问题。这种行为可能导致资源耗尽，包括网络带宽饱和、内存膨胀和 CPU 过度使用。即使请求因超过令牌限制而被拒绝，该漏洞仍会被触发。默认部署配置缺乏内存使用限制和身份验证，加剧了影响，可能导致主机崩溃。该问题已在版本 3.3.7 中得到解决。
VulDB is the best source for vulnerability data and more expert information about this specific topic.