LM Studio: Path Traversal im Modell-Downloader erlaubt Schreibzugriffe ausserhalb des Modellverzeichnisses

Zusammenfassung

LM Studio vor 0.4.22+1 enthält eine Path-Traversal-Schwachstelle im Modell-Downloader, durch die ein präpariertes Modell-Repository Dateien ausserhalb des Modellverzeichnisses schreiben kann, mithilfe von Dateinamen mit Backslash-Traversal. Ein Angreifer kann Plugin- und Konfigurationsdateien wie manifest.json, install-state.json und mcp-bridge-config.json ablegen, die bei jedem Start ein vom Angreifer geliefertes Python-Skript ausführen. Die Ausnutzung setzt voraus, dass ein Benutzer das präparierte Modell-Repository herunterlädt; eine Authentifizierung des Angreifers ist nicht nötig.

Betroffen

• LM Studio vor 0.4.22+1 (CNA-Eintrag: betroffene Versionen 0 bis unter 0.4.22+1)
• VulDB beschreibt den Bereich als bis 0.4.22+0

Behoben in

• 0.4.22+1 laut CNA-Daten (VulnCheck)
• Die eigene Formulierung des Herstellers zu diesem Fix konnte nicht bestätigt werden; die neueste verfügbare Version sollte verwendet werden

Umgehung

• Kein Workaround des Herstellers gefunden.
• Modelle nur von vertrauenswürdigen Herausgebern herunterladen.
• Das Modellverzeichnis auf unerwartete JSON-Dateien wie manifest.json, install-state.json oder mcp-bridge-config.json ausserhalb der erwarteten Struktur von Herausgeber und Modell prüfen.
• Auf betroffenen Systemen einschränken, wer Modelle installieren darf.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert; kein öffentliches nuclei-Template gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Alle LM-Studio-Installationen inventarisieren, auch auf Arbeitsplätzen von Mitarbeitenden und Entwicklern.
• Auf die neueste LM-Studio-Version aktualisieren, nicht nur auf 0.4.22+1.
• Modelle nur aus vertrauenswürdigen Quellen beziehen und das Modellverzeichnis auf unerwartete Dateien prüfen.
• Betroffene Geräte als kompromittiert behandeln, falls unerwartete Dateien gefunden werden, da die Nutzlast laut Berichten bei jedem Start ausgeführt wird.
• Priorität erhöhen, wo Mitarbeitende lokale LLM-Werkzeuge einsetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• LM Studio 0.4.22 Changelog lmstudio.ai
• VulnCheck Advisory: LM Studio Path Traversal via Model Downloader www.vulncheck.com
• VulDB entry 429281 vuldb.com
• Strix CVE-2026-119979 www.strix.ai
• Positive Technologies PT-2026-133731 vulners.com
• LM Studio model sideload documentation lmstudio.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:22.