PT-2025-12079 · Unknown · Lm-Sys/Fastchat

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-10912

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas lm-sys/fastchat versão 0.2.36

Descrição Existe uma vulnerabilidade de Negação de Serviço (DoS) na funcionalidade de upload de arquivos devido ao tratamento inadequado de form-data com um nome de arquivo grande na solicitação de upload de arquivos. Um atacante pode explorar essa falha enviando um payload com um nome de arquivo excessivamente grande, causando sobrecarga no servidor e tornando-o indisponível para usuários legítimos.

Recomendações Para a versão 0.2.36, considere restringir o tamanho dos nomes de arquivos permitidos na funcionalidade de upload de arquivos para prevenir a exploração até que um patch esteja disponível. Como medida temporária (workaround), limitar o acesso à funcionalidade de upload de arquivos também pode ajudar a minimizar o risco de exploração.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2024-10912

GHSA-79RP-V9RM-GXM8

Produtos afetados

Lm-Sys/Fastchat

Referências · 7

• 🔥 https://huntr.com/bounties/52f335b8-1134-4d0f-acb4-efef516de414 · Exploit
• https://github.com/lm-sys/FastChat · Nota
• https://osv.dev/vulnerability/GHSA-79rp-v9rm-gxm8 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1903077338574897394 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-10912 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671040955769215 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10912 · Nota de Segurança