CVE-2026-33626
Yüksek
Açıklama
LMDeploy; büyük dil modellerini sıkıştırmak, dağıtmak ve sunmak için kullanılan bir araç takımıdır. 0.12.3 öncesindeki sürümlerde, LMDeploy'un vision-language modülünde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. `lmdeploy/vl/utils.py` dosyasındaki `load_image()` fonksiyonu, dahili/özel IP adreslerini doğrulamadan rastgele URL'leri çekmekte; bu durum saldırganların bulut meta veri servislerine, dahili ağlara ve hassas kaynaklara erişmesine olanak tanımaktadır. 0.12.3 sürümü bu sorunu gidermektedir.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
ÜrünInternlm Lmdeploy
Yayın20 Nis 2026
İlk görülme20 Nis 2026
Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)
Nasıl düzeltilir
Güncelleyin
- internlm lmdeploy0.12.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| internlm lmdeploy | v < 0.12.3 | 0.12.3 |
| lmdeployPyPI | v ≤ 0.12.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.