CVE-2026-112108

ŚrednieCVSS 6.3

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

W bibliotece fastllm (do wersji 0.1.8.2) funkcja GGUFBuffer::ReadString w pliku gguf.cpp nieprawidłowo obsługuje argument len, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a exploit jest publicznie ujawniony.

Ocena ryzyka

Przepełnienie bufora może doprowadzić do awarii aplikacji lub wykonania dowolnego kodu przy przetwarzaniu złośliwego pliku GGUF. Projekt nie odpowiedział na zgłoszenie, więc ryzyko pozostaje niezałatane.

Rekomendacja

Unikaj przetwarzania niezaufanych plików GGUF do czasu wydania poprawki. Śledź repozytorium fastllm i wdróż aktualizację, gdy tylko będzie dostępna.

Inne podatności w fastllm

CVE-2026-112107Średnie
W bibliotece fastllm (do wersji 1.8.2) funkcja SafeTensorItem::CreateBuffer w pliku src/model.cpp nieprawidłowo obsługuje argument data_offsets, co prowadzi do przepełnienia bufora. Podatność można wykorzystać zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in ztxz16 fastllm up to 0.1.8.2. This impacts the function GGUFBuffer::ReadString of the file third_party/gguf/gguf.cpp of the component String Parsing. This manipulation of the argument len causes buffer overflow. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS