CVE-2023-38673
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
PaddlePaddle w wersjach przed 2.5.0 zawiera podatność na wstrzykiwanie poleceń w pliku fs.py, co umożliwia wykonanie dowolnych poleceń w systemie operacyjnym.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia kontroli nad systemem operacyjnym, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację PaddlePaddle do wersji 2.5.0 lub nowszej, aby usunąć tę podatność.
Inne podatności w PaddlePaddle
Zobacz wszystkie- CVE-2023-38672Średnie
W PaddlePaddle przed wersją 2.5.0 występuje podatność FPE w funkcji paddle.trace, która może prowadzić do awarii w czasie wykonywania oraz odmowy usługi.
- CVE-2023-38671Wysokie
Przepełnienie bufora w stercie w funkcji paddle.trace w PaddlePaddle przed wersją 2.5.0. Ta wada może prowadzić do odmowy usługi, ujawnienia informacji lub większych szkód.
- CVE-2023-38670Średnie
W PaddlePaddle przed wersją 2.5.0 występuje dereferencja wskaźnika null w funkcji paddle.flip, co prowadzi do awarii w czasie wykonywania oraz odmowy usługi.
- CVE-2023-38669Wysokie
W PaddlePaddle przed wersją 2.5.0 występuje podatność typu use after free w funkcji paddle.diagonal, co prowadzi do potencjalnie wykorzystywalnego stanu.
Oryginalny opis (angielski, źródło NVD)
PaddlePaddle before 2.5.0 has a command injection in fs.py. This resulted in the ability to execute arbitrary commands on the operating system.