CVE-2024-6095
中已发布
mudler/localai 中 /models/apply 端点处的 SSRF 与部分 LFI
- 已发布
- 2024年7月6日
- 已更新
- 2024年8月1日
- 分配 CNA
- @huntr_ai
- 观察到的证据
- 2026年8月8日
初级CVSS
5.8/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N2.7%
低 · 未来 30 天
- 百分位
- 84.9%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
mudler/localai 2.15.0 版本的 /models/apply 端点存在一个漏洞，允许进行服务器端请求伪造（SSRF）和部分本地文件包含（LFI）。该端点同时支持 http(s):// 和 file:// 协议，其中后者可能导致 LFI。然而，由于错误消息长度的限制，输出受到限制。拥有 LocalAI 实例网络访问权限的攻击者可利用此漏洞，可能允许未经授权访问内部 HTTP(s) 服务器并部分读取本地文件。该问题已在 2.17 版本中修复。
来源
1- -CVE-2024-6095漏洞利用
混淆版CVE-2024-6095漏洞利用脚本，使用随机字符串、高级载荷、自定义标头和随机延迟，在授权渗透测试期间规避检测。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。