PT-2026-40546 · Sillytavern+1 · Sillytavern

Greg-Kim + 3 · Publicado 2026-05-12 · Atualizado 2026-05-29 · CVE-2026-44650

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas SillyTavern versões anteriores a 1.18.0

Description Existe um problema no endpoint "/api/extensions/delete" que aceita o valor "." para a variável extensionName. Isso ignora a validação do sanitize-filename, que converte o ponto em uma string vazia, fazendo com que a aplicação resolva o caminho para o diretório base de extensões. Consequentemente, todo o diretório de extensões do usuário é excluído recursivamente. Na configuração padrão, nenhuma autenticação é necessária para realizar esta ação. Comportamento semelhante também está presente nos endpoints "/api/extensions/update", "/api/extensions/version", "/api/extensions/branches" e "/api/extensions/switch".

Recommendations Atualize para a versão 1.18.0. Como medida paliativa temporária, restrinja o acesso de rede à instância do SillyTavern para evitar solicitações não autorizadas aos endpoints de API afetados.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-44650

GHSA-886Q-F44J-H6WH

Produtos afetados

Sillytavern

Referências · 7

• 🔥 https://github.com/SillyTavern/SillyTavern/security/advisories/GHSA-886q-f44j-h6wh · Exploit
• https://github.com/SillyTavern/SillyTavern · Nota
• https://github.com/SillyTavern/SillyTavern/releases/tag/1.18.0 · Nota
• https://osv.dev/vulnerability/GHSA-886q-f44j-h6wh · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2060470699655880722 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2060471535316472053 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44650 · Nota de Segurança