CVE-2025-8917

ŚrednieCVSS 5.8

Opublikowano: 05/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

W allegroai/clearml w wersji v2.0.1 występuje podatność na path traversal z powodu nieprawidłowego obsługiwania dowiązań symbolicznych i twardych w funkcji `safe_extract`. Może to prowadzić do zapisu dowolnych plików poza zamierzonym katalogiem, potencjalnie umożliwiając zdalne wykonanie kodu.

Ocena ryzyka

Atakujący może nadpisać krytyczne pliki, co może prowadzić do zdalnego wykonania kodu lub naruszenia integralności systemu.

Rekomendacja

Zaktualizuj ClearML do wersji nowszej niż v2.0.1, jeśli dostępna, lub zastosuj poprawki zabezpieczające.

Inne podatności w ClearML

CVE-2026-8387Niskie
Podatność w bibliotece allegroai/clearml w wersjach do 1.16.5 umożliwia względne przechodzenie ścieżek podczas rozpakowywania archiwów .zip metodą ZipFile.extractall() w StorageManager._extract_to_cache(). Brak walidacji ścieżek pozwala atakującemu na zapis dowolnych plików w systemie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in allegroai/clearml version v2.0.1 allows for path traversal due to improper handling of symbolic and hard links in the `safe_extract` function. This flaw can lead to arbitrary file writes outside the intended directory, potentially resulting in remote code execution if critical files are overwritten.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS