CVE-2025-51427
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W ModelScope 1.25.0 odkryto podatność umożliwiającą atakującym wykonanie dowolnego kodu poprzez spreparowany moduł określony w pliku konfiguracyjnym dey_mini.yaml pod kluczem ['nnet']['module'].
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez atakującego, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w sieci organizacji.
Rekomendacja
Należy natychmiast zaktualizować ModelScope do najnowszej wersji łatającej tę podatność oraz ograniczyć dostęp do plików konfiguracyjnych tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in ModelScope 1.25.0 allowing attackers to execute arbitrary code via crafted module listed in the configuration file (dey_mini.yaml) under the key ['nnet']['module'].