CVE-2025-59159

SillyTavern, kullanıcıların metin oluşturma büyük dil modelleri, görüntü oluşturma motorları ve metinden konuşmaya ses modelleriyle etkileşim kurmasına olanak tanıyan yerel olarak kurulu bir kullanıcı arayüzüdür. 1.13.4 öncesindeki sürümlerde, SillyTavern'in web kullanıcı arayüzü DNS rebinding saldırılarına karşı savunmasızdır; bu durum, saldırganların kötü amaçlı eklentiler yüklemek, sohbetleri okumak, kimlik avı saldırıları için rastgele HTML enjekte etmek gibi işlemler gerçekleştirmesine izin verir. Zafiyet, gelen HTTP isteklerindeki ana bilgisayar adlarının sağlanan izin verilen ana bilgisayarlar listesine göre doğrulanmasını sağlayan bir sunucu yapılandırma ayarının getirilmesiyle 1.13.4 sürümünde yamalanmıştır: config.yaml dosyasındaki `hostWhitelist.enabled` veya `SILLYTAVERN_HOSTWHITELIST_ENABLED` ortam değişkeni. Mevcut çeşitli kullanıcı yapılandırmalarına saygı duymak ve geriye dönük uyumluluğu korumak amacıyla bu ayar varsayılan olarak devre dışı bırakılmış olsa da, mevcut ve yeni kullanıcıların sunucu yapılandırmalarını gözden geçirmeleri ve özellikle SSL kullanmadan yerel ağ üzerinden barındırma yapıyorlarsa kurulumlarında gerekli değişiklikleri uygulamaları önerilir.