CVE-2026-54457

TensorZero; bir LLM ağ geçidini, gözlemlenebilirliği, değerlendirmeyi, optimizasyonu ve deneylemeyi birleştiren açık kaynaklı bir LLMOps platformudur. 2026.6.0 sürümünden önce, TensorZero Gateway /internal/object_storage uç noktası, [object_storage] yapılandırmasını dinamik olarak geçersiz kılan ve çağırıcı tarafından sağlanan bir JSON storage_path parametresini kabul etmektedir. Filesystem depolama türünün seçilmesi, kimlik bilgisi dosyaları da dahil olmak üzere ağ geçidi dosya sistemindeki rastgele dosyaların okunmasına olanak tanır. s3_compatible depolama türünün seçilmesi, dışa dönük nesne depolama isteklerinin saldırgan tarafından seçilen dahili veya bulut meta veri uç noktalarına yönlendirilmesine neden olur. İstismar işlemi, dağıtım yapılandırmasına bağlı olarak kimlik doğrulamalı veya kimlik doğrulamasız olabilen ağ geçidine erişim gerektirir. Bu sorun 2026.6.0 sürümünde düzeltilmiştir.