CVE-2026-116502

ŚrednieCVSS 4.4

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W ExLlamaV2 do wersji 0.3.2 funkcja QMatrix::make_sequential w pliku exllamav2/exllamav2_ext/cuda/q_matrix.cu (komponent GPTQ Index Handler) przy manipulacji argumentem g_idx może doprowadzić do zapisu poza granicami bufora. Atak wymaga lokalnego dostępu. Projekt został poinformowany o problemie, ale nie odpowiedział.

Ocena ryzyka

Lokalny atakujący może wykorzystać podatność do uszkodzenia pamięci, co może prowadzić do awarii lub potencjalnie wykonania kodu w kontekście procesu.

Rekomendacja

Ogranicz dostęp do środowiska uruchomieniowego ExLlamaV2 i unikaj przetwarzania niezaufanych danych wejściowych. Monitoruj projekt w oczekiwaniu na poprawkę.

Inne podatności w ExLlamaV2

CVE-2026-110695Średnie
W turboderp ExLlamaV2 do wersji 0.3.2 wykryto lukę w funkcji STFile.get_tensor pliku exllamav2/stloader.py komponentu Safetensors Tensor Loader. Manipulacja argumentem data_offsets powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in turboderp-org ExLlamaV2 up to 0.3.2. The impacted element is the function QMatrix::make_sequential of the file exllamav2/exllamav2_ext/cuda/q_matrix.cu of the component GPTQ Index Handler. Executing a manipulation of the argument g_idx can lead to out-of-bounds write. The attack needs to be launched locally. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS