CVE-2026-44649

SillyTavern przed wersją 1.18.0 zawiera podatność w punkcie końcowym POST /api/extensions/delete, która pozwala na usunięcie całego katalogu rozszerzeń użytkownika poprzez przesłanie nazwy rozszerzenia "." (kropka). Walidacja sanitize-filename jest pomijana, a w domyślnej konfiguracji nie jest wymagane uwierzytelnienie.

SillyTavern to lokalnie instalowany interfejs użytkownika do interakcji z modelami językowymi, generatorami obrazów i modelami mowy. W wersjach przed 1.13.4 interfejs webowy jest podatny na DNS rebinding, co pozwala atakującym na instalowanie złośliwych rozszerzeń, odczytywanie czatów, wstrzykiwanie dowolnego HTML do ataków phishingowych itp. Podatność naprawiono w wersji 1.13.4 poprzez wprowadzenie ustawienia serwera walidującego nazwy hostów w przychodzących żądaniach HTTP według listy dozwolonych hostów: hostWhitelist.enabled w pliku config.yaml lub zmienna środowiskowa SILLYTAVERN_HOSTWHITELIST_ENABLED. Ustawienie jest domyślnie wyłączone dla kompatybilności, ale zaleca się jego włączenie, zwłaszcza przy hostowaniu w sieci lokalnej bez SSL.

SillyTavern w wersjach od 1.12.13 do 1.19.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym na wyczerpanie zasobów, ponieważ middleware body-parser działa przed uwierzytelnieniem i sprawdzeniem listy dozwolonych adresów. Atakujący mogą wysyłać duże lub skompresowane ciała JSON lub urlencoded o rozmiarze do 500 MB, opcjonalnie równolegle, aby wyczerpać pamięć i CPU oraz uniemożliwić działanie usługi.

Podatność w SillyTavern przed wersją 1.18.0. Endpoint /api/search/searxng akceptuje kontrolowany przez atakującego parametr baseUrl, co umożliwia wykonywanie żądań do wewnętrznych lub pętli zwrotnej usług HTTP.

SillyTavern przed wersją 1.18.0 zawiera podatność SSRF w corsProxyMiddleware, która przekazuje adres URL z parametru req.params.url bezpośrednio do funkcji fetch(). Blokowane są tylko żądania okrężne do własnego hosta, ale nie ma listy dozwolonych miejsc docelowych ani ograniczeń dla adresów prywatnych/pętli zwrotnej.

SillyTavern przed wersją 1.18.0 nie koduje HTML-em wartości URL pochodzącej od atakującego przed wysłaniem jej w odpowiedzi błędu. Umożliwia to wstrzyknięcie skryptów (XSS) poprzez spreparowane żądanie.

SillyTavern przed wersją 1.18.0 używa cookie-session do uwierzytelniania, przechowując dane sesji w podpisanym ciasteczku. Endpointy zmiany hasła nie unieważniają istniejących sesji, co pozwala atakującemu z wykradzionym ciasteczkiem na dalszy dostęp po zmianie hasła.

W SillyTavern przed wersją 1.17.0 stwierdzono podatność SSRF w funkcji search.js. Walidacja hostname ogranicza się do adresów IPv4 w formacie kropkowym, co pozwala na ominięcie przez localhost, IPv6 i nazwy DNS wskazujące na adresy wewnętrzne. Ograniczeniem jest sprawdzanie portu, co zmniejsza ryzyko.

SillyTavern przed wersją 1.17.0 zawiera podatność typu path traversal w endpointach czatu, która pozwala uwierzytelnionemu atakującemu na odczyt i usunięcie dowolnych plików w katalogu danych użytkownika (np. secrets.json i settings.json) poprzez podanie avatar_url="..". Problem został naprawiony w wersji 1.17.0.

SillyTavern przed wersją 1.17.0 zawiera podatność na path traversal w obsłudze statycznych plików. Niezautoryzowany atakujący może sprawdzić istnienie dowolnych plików na serwerze, wysyłając zakodowane sekwencje "../" w żądaniach.