CVE-2026-10042
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
manga-image-translator zawiera podatność zdalnego wykonania kodu w trybie współdzielonego serwera API z powodu niebezpiecznej deserializacji niezaufanych danych pickle w module share.py. Punkty końcowe /execute/{method_name} i /simple_execute/{method_name} deserializują kontrolowane przez atakującego ciała żądań HTTP za pomocą pickle.loads(). Zdalny atakujący może dostarczyć spreparowany ładunek pickle do tych punktów końcowych, aby wykonać dowolny kod w procesie serwera, co prowadzi do pełnego przejęcia kontenera przy domyślnym wdrożeniu Docker jako root.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontenera Docker, co może prowadzić do kradzieży danych, dalszego ataku na infrastrukturę lub przerwania działania usługi.
Rekomendacja
Należy natychmiast zaktualizować manga-image-translator do wersji, która usuwa niebezpieczną deserializację pickle, lub tymczasowo wyłączyć tryb współdzielonego serwera API i punkty końcowe /execute oraz /simple_execute.
Oryginalny opis (angielski, źródło NVD)
manga-image-translator contains a remote code execution vulnerability in the shared API server mode due to unsafe deserialization of untrusted pickle data in the share.py module, where the /execute/{method_name} and /simple_execute/{method_name} endpoints deserialize attacker-controlled HTTP request bodies using pickle.loads(). A remote attacker can supply a crafted pickle payload to these endpoints to execute arbitrary code in the server process, resulting in full container compromise when running in the default Docker deployment as root.