CVE-2026-38950
HighCVSS 7.8Summary
W ESA AnomalyMatch przed wersją 1.3.1 występuje problem, który pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowane pliki punktów kontrolnych modeli. Affected components ładują pliki modeli z katalogów sesji przy użyciu torch.load() bez ograniczeń w deserializacji.
Risk Assessment
Organizacje mogą być narażone na zdalne wykonanie kodu, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem. Wykorzystanie tej podatności może mieć poważne konsekwencje dla bezpieczeństwa infrastruktury IT.
Recommendation
Zaleca się aktualizację ESA AnomalyMatch do wersji 1.3.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do plików punktów kontrolnych modeli oraz stosować odpowiednie mechanizmy zabezpieczeń dla deserializacji.
Original NVD description (English source)
An issue in ESA AnomalyMatch before 1.3.1 allow attackers to execute arbitrary code via crafted model checkpoint files. The affected components load model files from session directories using torch.load() with unrestricted deserialization.