CVE-2026-6855

Wysokie

Opublikowano: 22/04/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W InstructLab znaleziono lukę, która umożliwia lokalnemu atakującemu wykorzystanie podatności typu path traversal w obsłudze sesji czatu poprzez manipulację parametrem `logs_dir`. To pozwala atakującemu na tworzenie nowych katalogów i zapisywanie plików w dowolnych lokalizacjach na systemie.

Ocena ryzyka

Luka ta może prowadzić do nieautoryzowanej modyfikacji lub ujawnienia danych, co stanowi poważne zagrożenie dla integralności i poufności systemu.

Rekomendacja

Zaleca się przegląd i zabezpieczenie obsługi parametrów wejściowych, aby zapobiec manipulacji parametrem `logs_dir`, a także wdrożenie odpowiednich kontroli dostępu do systemu plików.

Inne podatności w InstructLab

CVE-2026-6859Wysokie
W skrypcie `linux_train.py` narzędzia InstructLab na stałe ustawiono `trust_remote_code=True` podczas ładowania modeli z HuggingFace. Umożliwia to zdalnemu atakującemu wykonanie dowolnego kodu w języku Python poprzez nakłonienie użytkownika do uruchomienia `ilab train/download/generate` ze spreparowanym złośliwym modelem z HuggingFace Hub.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in InstructLab. A local attacker could exploit a path traversal vulnerability in the chat session handler by manipulating the `logs_dir` parameter. This allows the attacker to create new directories and write files to arbitrary locations on the system, potentially leading to unauthorized data modification or disclosure.