CVE-2026-85668
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Xinference (commit 4a94832, v3.x) zawiera nieuwierzytelnioną podatność na odczyt plików o dowolnej ścieżce w punkcie końcowym POST /v1/models/llm/auto-register, który akceptuje parametr model_path dostarczony przez wywołującego bez uwierzytelniania lub ograniczenia ścieżki. Punkt końcowy odczytuje i analizuje pliki config.json, tokenizer_config.json i chat_template.jinja pod podaną ścieżką i odzwierciedla ich zawartość z powrotem do wywołującego, co pozwala nieuwierzytelnionemu atakującemu na przeszukiwanie systemu plików serwera i wyodrębnianie zawartości plików o tych nazwach w dowolnym katalogu.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany odczyt wrażliwych plików konfiguracyjnych i potencjalne ujawnienie danych systemowych.
Rekomendacja
Wymagaj uwierzytelniania dla punktu końcowego auto-register i ogranicz parametr model_path do dozwolonych katalogów.
Inne podatności w Xinference
Zobacz wszystkie- CVE-2026-61539Krytyczne
Xinference to API wnioskowania do uruchamiania modeli open-source, mowy i multimodalnych. W wersji 2.5.0 i wcześniejszych, Xinference przekazuje wynik wywołania narzędzia Llama3, na który wpływ ma atakujący, do funkcji eval() w xinference/model/llm/tool_parsers/llama3_tool_parser.py oraz xinference/model/llm/utils.py. Żądania do /v1/chat/completions z polem tools przepływają przez xinference/api/restful_api.py, xinference/model/llm/transformers/core.py, handle_chat_result_non_streaming() i _post_process_completion() przed extract_tool_calls() lub _eval_llama3_chat_arguments() oceniają wygenerowane przez model wyrażenie Pythona. Nieuwierzytelniony zdalny atakujący może wpłynąć na ten wynik poprzez spreparowany prompt i wykonać polecenia w kontekście procesu serwera Xinference. Problem naprawiono w wersji 2.7.0.
- CVE-2026-112051Średnie
Xinference do wersji 4.0.1 zawiera podatność path traversal w systemie Windows, która pozwala nieuwierzytelnionym atakującym na zapis i usunięcie dowolnych plików .json poprzez sekwencje ukośników wstecznych w polu model_name. Atakujący może zarejestrować trwały model niestandardowy przez POST /v1/model_registrations/{model_type} z nazwami takimi jak ..\..\evil, aby nadpisać pliki konfiguracyjne lub dane zapisywalne przez proces Xinference.
- CVE-2026-76841Wysokie
Xinference domyślnie włącza zdalne wykonywanie kodu podczas ładowania modeli Hugging Face, a przed wersją 2.12.0 nie ma możliwości wyłączenia tej funkcji. Atakujący z dostępem do ładowania modeli może wykonać dowolny kod.
Oryginalny opis (angielski, źródło NVD)
Xinference (affected commit 4a94832, v3.x) contains an unauthenticated arbitrary-path file read vulnerability in the POST /v1/models/llm/auto-register endpoint, which accepts a caller-supplied model_path parameter without authentication or path confinement. The endpoint reads and parses config.json, tokenizer_config.json, and chat_template.jinja files at the supplied path and reflects the parsed content back to the caller, allowing an unauthenticated attacker to probe the server filesystem and extract content of files with those names in any directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS