CVE-2026-108960

ŚrednieCVSS 5.3

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Podatność wykryta w Tiiny-AI PowerInfer do wersji 8bd56d69906c9d2dba4d3bf6899763401e01a9a4. Dotyczy funkcji create_striped_mat_to_gpu w pliku smallthinker/ggml/src/ggml-cuda/ggml-cuda.cu komponentu FFN GPU-split Loader. Manipulacja prowadzi do odczytu poza zakresem. Atak wymaga dostępu lokalnego. Exploit jest publiczny i może być używany. Produkt stosuje ciągłe wydania, więc informacje o wersjach nie są ujawniane. Pull request z poprawką oczekuje na akceptację.

Ocena ryzyka

Lokalny atakujący może wykorzystać podatność do odczytu danych poza zakresem, co może prowadzić do wycieku wrażliwych informacji lub awarii systemu.

Rekomendacja

Ogranicz dostęp lokalny do systemu i monitoruj działania. Śledź status pull requesta i zastosuj poprawkę, gdy będzie dostępna.

Inne podatności w PowerInfer

CVE-2026-108955Średnie
Podatność w PowerInfer (Tiiny-AI) do wersji 8bd56d69906c9d2dba4d3bf6899763401e01a9a4. Funkcja gguf_init_from_file w pliku ggml.c komponentu GGUF Parser ma problem z argumentem data_offset, co prowadzi do odczytu poza zakresem. Atak wymaga lokalnego dostępu. Exploit został publicznie ujawniony i może być wykorzystany. Produkt używa modelu ciągłych aktualizacji, więc konkretne wersje nie są dostępne; pull request z poprawką oczekuje na akceptację.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in Tiiny-AI PowerInfer up to 8bd56d69906c9d2dba4d3bf6899763401e01a9a4. Affected is the function create_striped_mat_to_gpu of the file smallthinker/ggml/src/ggml-cuda/ggml-cuda.cu of the component FFN GPU-split Loader. The manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit is now public and may be used. This product utilizes a rolling release system for continuous delivery, and as such, version information for affected or updated releases is not disclosed. The pull request to fix this issue awaits acceptance.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS