CVE-2026-108760
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
LlamaFarm do wersji 0.0.34 zawiera niezabezpieczoną konfigurację domyślną, która wiąże nieuwierzytelniony serwer FastAPI z adresem 0.0.0.0 na porcie 14345, a CLI lf po cichu ignoruje nadpisania HOST. Atakujący z sąsiedniej sieci mogą wywoływać API zarządzania projektami i zbiorami danych, aby odczytać przechowywane klucze API dostawców, modyfikować projekty, wyzwalać przetwarzanie danych i nieodwracalnie usuwać projekty.
Ocena ryzyka
Organizacja naraża się na wyciek kluczy API dostawców oraz nieautoryzowane zmiany i trwałą utratę danych projektowych przez każdego atakującego z dostępem do sieci. Brak uwierzytelniania oznacza, że eksploatacja nie wymaga żadnych poświadczeń.
Rekomendacja
Zaktualizuj LlamaFarm do wersji nowszej niż 0.0.34, jeśli jest dostępna, oraz natychmiast ogranicz dostęp do portu 14345 za pomocą zapory sieciowej lub reguł sieciowych. Nie polegaj na nadpisaniu HOST przez CLI — zweryfikuj faktyczny adres nasłuchiwania serwera.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
LlamaFarm through 0.0.34 contains an insecure default configuration that binds its unauthenticated FastAPI server to 0.0.0.0 on port 14345, while the lf CLI silently discards HOST overrides. Network-adjacent attackers can call the project and dataset management API to read stored provider API keys, modify projects, trigger ingestion, and irreversibly delete projects.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS