LLaVA (haotian-liu): Denial of Service über Datei-Upload mit übergrossem Dateinamen

Beschreibung

In der Datei-Upload-Funktion von haotian-liu/llava, konkret in Release v1.2.0 (LLaVA-1.6), besteht eine Denial-of-Service-Schwachstelle. Ursache ist eine unsachgemässe Verarbeitung von Formulardaten mit einem übermässig langen Dateinamen in der Upload-Anfrage: Ein entsprechend präparierter Payload überlastet den Server und macht ihn nicht mehr erreichbar, wodurch der Dienst für legitime Nutzer ausfällt. Die Schwachstelle lässt sich laut Quelle ohne Authentifizierung ausnutzen, was das Risiko einer breiten Ausnutzung erhöht. CVSS-Basiswert: 7.5 (Hoch).

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Home Assistant

• Qualcomm Multiple Chipsets Use-After-Free KEV CVE-2023-33063
• Spring Framework JDK 9+ Remote Code Execution (Spring4Shell) KEV CVE-2022-22965
• CVE-2019-11358 – Axis Communications CVE-2019-11358
• Google Home: Ausspähen und Rechteausweitung durch Angreifer in WLAN-Reichweite CVE-2023-48419
• eNet SMART HOME: aktive Standard-Zugangsdaten ermöglichen administrativen Zugriff CVE-2026-26366
• CVE-2026-26369 – Rechteausweitung im eNet SMART HOME Server CVE-2026-26369