8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Ollama fails to validate redirect destinations when pulling tensor-layer models, allowing unauthenticated attackers to redirect blob downloads to arbitrary hosts. An attacker can control a registry, serve a malicious tensor-layer manifest, and cause the server to issue GET requests to internal hosts including cloud metadata endpoints.
Засегнати продукти
- ollama ollama: 0.30.0 до 0.33.2
Вид слабост
История
- 3 септември 2026 Публикувано
Други уязвимости в ollama ollama
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-85180
- https://nvd.nist.gov/vuln/detail/CVE-2026-85180
- https://github.com/ollama/ollama/issues/17041
- https://github.com/ollama/ollama
- https://github.com/ollama/ollama/blob/v0.33.2/x/transfer/download.go
- https://www.vulncheck.com/advisories/ollama-0.30.0-through-0.33.2-ssrf-via-cross-host-tensor-blob-redirect