CVE-2026-76841

WysokieCVSS 8.8

Opublikowano: 24/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 24/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.71%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Xinference domyślnie włącza zdalne wykonywanie kodu podczas ładowania modeli Hugging Face, a przed wersją 2.12.0 nie ma możliwości wyłączenia tej funkcji. Atakujący z dostępem do ładowania modeli może wykonać dowolny kod.

Ocena ryzyka

Osoba z uprawnieniami do uruchamiania modeli może zarejestrować złośliwy model i wykonać kod w procesie roboczym, co może prowadzić do przejęcia serwera lub kradzieży danych.

Rekomendacja

Zaktualizuj Xinference do wersji 2.12.0 lub nowszej, która domyślnie wyłącza zdalne wykonywanie kodu. Ogranicz dostęp do ładowania modeli tylko do zaufanych użytkowników.

Inne podatności w Xinference

CVE-2026-61539Krytyczne
Xinference to API wnioskowania do uruchamiania modeli open-source, mowy i multimodalnych. W wersji 2.5.0 i wcześniejszych, Xinference przekazuje wynik wywołania narzędzia Llama3, na który wpływ ma atakujący, do funkcji eval() w xinference/model/llm/tool_parsers/llama3_tool_parser.py oraz xinference/model/llm/utils.py. Żądania do /v1/chat/completions z polem tools przepływają przez xinference/api/restful_api.py, xinference/model/llm/transformers/core.py, handle_chat_result_non_streaming() i _post_process_completion() przed extract_tool_calls() lub _eval_llama3_chat_arguments() oceniają wygenerowane przez model wyrażenie Pythona. Nieuwierzytelniony zdalny atakujący może wpłynąć na ten wynik poprzez spreparowany prompt i wykonać polecenia w kontekście procesu serwera Xinference. Problem naprawiono w wersji 2.7.0.

Oryginalny opis (angielski, źródło NVD)

Xinference loads models with Hugging Face remote code execution unconditionally enabled, and before version 2.12.0 exposes no setting to disable it. Six loader call sites pass trust_remote_code=True as a literal or as an unconditional default: RerankModel._get_tokenizer in xinference/model/rerank/core.py, SentenceTransformerRerankModel.load in xinference/model/rerank/sentence_transformers/core.py, SentenceTransformerEmbeddingModel.load in xinference/model/embedding/sentence_transformers/core.py, FlagEmbeddingModel.load in xinference/model/embedding/flag/core.py, and two sites in xinference/model/llm/transformers/core.py where PytorchModel._sanitize_model_config and PytorchModel._get_components default the value to True. Because a caller with model launch access can register a model whose type is unknown and supply an arbitrary model path, the server reaches _auto_detect_type and then AutoTokenizer.from_pretrained, which imports and executes Python declared by the model directory's own tokenizer_config.json auto_map, running attacker-supplied code with the privileges of the worker process. Version 2.12.0 gates every site behind allow_trust_remote_code and the XINFERENCE_TRUST_REMOTE_CODE setting, permitting remote code only for bundled built-in models.