Katalog podatności CVE

W vLLM przed wersją 0.30.0, modele żądań zgodne z OpenAI akceptują niepustą wartość cache_salt bez egzekwowania ograniczeń znaków i długości wymaganych przez IPCCacheServerKey w LMCache-MP, co może prowadzić do nieobsłużonego ValueError i przerwania działania EngineCore.

W vLLM przed wersją 0.30.0, scoring late-interaction na /score i /rerank wyprowadza query_key z nagłówka X-Request-Id kontrolowanego przez wywołującego, co pozwala współbieżnemu żądaniu na nadpisanie zakodowanego zapytania ofiary.

W vLLM przed wersją 0.30.0, endpoint /inference/v1/generate w ścieżce disaggregated scale-out akceptuje tensory, identyfikatory cache, zakresy i procesory pól multimodalnych kontrolowane przez wywołującego bez powiązania ich z kontraktem renderera, co może prowadzić do przerwania EngineCore, zatrucia cache lub zmiany semantyki transportu.

W vLLM przed wersją 0.28.0, domyślny lustrzany multimodalny LRU cache może zatwierdzić hash mediów w cache wysyłającym frontendu podczas renderowania multimodalnego, zanim żądanie zostanie zaakceptowane przez silnik, a jeśli żądanie jest odrzucone, cache odbierający nie otrzyma payloadu, co prowadzi do błędu asercji przy późniejszym użyciu tego samego hasha.

vLLM to silnik wnioskowania i obsługi dużych modeli językowych. W wersjach przed 0.30.0 kontynuacje narzędzi Harmony przesyłane przez żądania POST /v1/responses odbudowują dane wejściowe silnika na następną turę bez zachowania wartości cache_salt, umieszczając prefiks kontynuacji w globalnej niesolonej przestrzeni nazw pamięci podręcznej, nawet gdy wywołujący włączył solenie. W środowiskach z włączonym buforowaniem prefiksów (domyślnie) uwierzytelniony najemca może odtworzyć historię ofiary i użyć licznika cached_tokens_per_turn do ustalenia, czy prefiks był wcześniej przetwarzany, naruszając izolację najemców.

W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku locateus.php (komponent Doctor Search Endpoint) funkcja mysqli_query jest podatna na iniekcję SQL poprzez argument doctorname. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Online-Appointment-Booking-System od girishsaraf (do commit f427b4757128ca253d33d0cc4e87bbb9c999a4d5) w pliku get_town.php (komponent AJAX Endpoint) manipulacja argumentami countryid/townid/cid/didval/cidval prowadzi do iniekcji SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie ujawniony.

GraphQL Tools przed wersją 12.0.1, w funkcji mergeDeep pakietu utils, podczas rekurencyjnego scalania obiektów źródłowych nie wyklucza kluczy __proto__, constructor i prototype. Uwierzytelniony klient GraphQL może aliasować pola do tych nazw, powodując kolizje odpowiedzi z dwóch subgrafów podczas scalania wyników supergrafu, co prowadzi do nadpisania Function.prototype.call wartością dostarczoną przez subgraf. To przerywa kolejne żądania w procesie aż do restartu.

Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie buildy uruchomione na tym demonie.

Gdy włączone jest proxy sieciowe z wstrzykiwaniem CA, proces budowania może zmodyfikować własny pakiet CA przed fazą czyszczenia. Może to spowodować zablokowanie czyszczenia, działanie poza głównym systemem plików budowania lub niepowodzenie bez oznaczenia budowania jako nieudane.

openSIS Classic 9.3 umożliwia uwierzytelnionemu użytkownikowi z wbudowaną rolą nauczyciela wybranie dowolnego rekordu pracownika przez staff_id i spowodowanie, że ścieżka aktualizacji informacji o szkole zresetuje hasło wybranego konta.

W Docling od wersji 2.107.0 do 2.120.3 backend OpenDocument używa wartości atrybutu xlink:href elementu draw:image jako ścieżki systemu plików, gdy wskazany element nie zostanie znaleziony w archiwum dokumentu. Funkcja odczytuje tę ścieżkę bez sprawdzenia schematu, ograniczenia do katalogu ekstrakcji ani ustawienia enable_local_fetch, co pozwala na wczytanie lokalnych plików do przekonwertowanego wyniku.

W Docling od wersji 2.82.0 do 2.118.1 opcja HTMLBackendOptions(render_page=True) zezwala na adresy URL plików, ponieważ HTMLDocumentBackend nie egzekwuje ustawienia enable_local_fetch ani nie ogranicza lokalnych żądań do katalogu dokumentu źródłowego. Przygotowany HTML może osadzić czytelny lokalny plik tekstowy w obrazie renderowanej strony, gdy zainstalowany jest Playwright.

W Docling od wersji 2.0.0 do 2.131.0 backendy HTML, JATS, OpenDocument spreadsheet i BoxNote przyjmują wartości atrybutów rowspan i colspan bez górnego limitu i wykonują pętle lub alokują siatkę tabeli proporcjonalnie do zadeklarowanego zakresu. Bardzo mały dokument może spowodować długotrwałe użycie CPU lub alokację wielu gigabajtów pamięci.

W Docling od wersji 2.16.0 do 2.131.0 backend InputFormat.JSON_DOCLING nie odrzuca odwołań do obrazów zawierających lokalne ścieżki lub URI plików. Gdy dokument jest wzbogacany lub eksportowany z ImageRefMode.EMBEDDED, metody DoclingDocument mogą otwierać te odwołania i umieszczać czytelne bajty obrazów w wynikach Markdown lub HTML.

W Docling od wersji 2.45.0 do 2.131.0 wykrywanie formatu METS-GBS oraz backend wywołują tarfile.TarFile.getmembers() przed egzekwowaniem limitu max_member_count, co powoduje alokację pełnej listy elementów archiwum przed zastosowaniem limitu. Małe archiwum tar skompresowane gzip z bardzo dużą liczbą pustych elementów może zużyć pamięć proporcjonalną do zadeklarowanej liczby elementów.

Docling to narzędzie do przetwarzania dokumentów, które parsuje różne formaty i integruje się z ekosystemem generatywnej AI. Od wersji 2.83.0 do 2.131.0 klasa KServeV2OcrModel w docling/models/stages/ocr/kserve_v2_ocr_model.py wysyła obrazy stron do skonfigurowanego endpointu bez sprawdzania ustawienia pipeline_options.enable_remote_services, nawet gdy wywołujący ustawi tę kontrolę na false. Metoda StandardPdfPipeline._make_ocr_model również nie przekazuje flagi do fabryki OCR, umożliwiając zdalne przetwarzanie OCR w konfiguracjach, które polegają na wyłączeniu zdalnych usług. Miejsce docelowe jest konfigurowane przez wywołującego, a nie wybierane przez atakującego.

W Docling od wersji 2.27.0 do 2.131.0 fabryki wtyczek wywołują load_setuptools_entrypoints() przed zastosowaniem ustawienia allow_external_plugins, więc każdy moduł zarejestrowany w grupie punktów wejściowych Docling jest importowany, nawet gdy zewnętrzne wtyczki są wyłączone. Zainstalowany złośliwy pakiet może wykonać kod w czasie importu przy starcie Docling.

Docling w wersjach od 2.94.0 do 2.132.0, gdy użytkownik wybierze LatexBackendOptions(tikz_engine="tectonic"), kompiluje niezaufane ciało TikZ i preambułę dokumentu bez ograniczania prymitywów TeX, takich jak \openin i \openout. Spreparowane dane wejściowe mogą odczytać pliki dostępne dla konwertera oraz tworzyć lub nadpisywać pliki, a włączenie opcji tikz_engine_allow_shell_escape dodatkowo umożliwia wykonywanie poleceń powłoki przez TeX. Domyślna konfiguracja, która nie włącza renderowania Tectonic, nie jest dotknięta.