FICHE CVE

CVE-2026-6608

Publiée le 2026-04-20 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions de FastChat allant jusqu'à la 0.2.36 sont affectées par une faille dans le gestionnaire de la vue comparative (Arena Side-by-Side View). Un attaquant distant peut manipuler le flux de contrôle de l'application pour provoquer un comportement imprévu, bien que cela ne lui accorde pas un accès complet au système ni la possibilité de voler des données. Cette action peut être exécutée via le réseau sans nécessiter d'authentification ni d'interaction de la part d'un utilisateur légitime.

CVSS 4.05.5 MOYENNE

Type de faiblesse

CWE-670

Publiée2026-04-20

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was detected in lm-sys fastchat up to 0.2.36. Impacted is the function add_text of the component Arena Side-by-Side View Handler. The manipulation results in incorrect control flow. The attack can be launched remotely. The exploit is now public and may be used. The root cause was fixed in commit 34eca62 for gradio_block_arena_named.py, but three other files were missed.