CVE-2025-27772
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W UpTrain w wersji 0.7.1 i wcześniejszych, endpoint /new_run jest podatny na zdalne wykonanie kodu (RCE) przez parametry checks i metadata. Każdy użytkownik z dostępem do UpTrain i ważną metodą uwierzytelniania może wykonać dowolny kod w kontekście hosta, na którym działa UpTrain, co w większości przypadków będzie kontenerem docker.
Ocena ryzyka
Zdalne wykonanie kodu może prowadzić do pełnego przejęcia kontenera lub hosta, co może skutkować naruszeniem poufności i integralności danych.
Rekomendacja
Brak znanej poprawki; zaleca się ograniczenie dostępu do UpTrain i monitorowanie aktywności endpointu /new_run.
Oryginalny opis (angielski, źródło NVD)
UpTrain is an open-source platform to evaluate and improve generative AI applications. In version 0.7.1 and prior, the `/new_run` endpoint is vulnerable to remote code execution via the `checks` and `metadata` parameters. Any user that has access to UpTrain and a valid authentication method may be able to execute arbitrary code in the context of the host running UpTrain, which in most cases will be the docker container as suggested by the documentation. As of time of publication, no known patch is available.