CVE-2026-109153

ŚrednieCVSS 6.3

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

W MosaicML Composer do wersji 0.32.1 wykryto podatność w funkcji tarball.extractall w pliku composer/utils/checkpoint.py w komponencie Checkpoint Extraction. Manipulacja prowadzi do path traversal. Atak można wykonać zdalnie. Producent został wcześnie powiadomiony o ujawnieniu.

Ocena ryzyka

Atakujący może zapisywać pliki poza docelowym katalogiem podczas rozpakowywania checkpointów, co może prowadzić do nadpisania plików lub wykonania kodu na serwerze.

Rekomendacja

Waliduj ścieżki w tarball.extractall i ogranicz rozpakowywanie checkpointów do bezpiecznego katalogu; zaktualizuj do wersji z poprawką, gdy będzie dostępna.

Inne podatności w MosaicML Composer

CVE-2026-10043Wysokie
Podatność w MosaicML Composer umożliwia zdalne wykonanie dowolnego kodu poprzez deserializację niezaufanych danych. Wymagana jest interakcja użytkownika, aby wykorzystać tę podatność, co oznacza, że ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in MosaicML Composer up to 0.32.1. This affects the function tarball.extractall of the file composer/utils/checkpoint.py of the component Checkpoint Extraction. The manipulation results in path traversal. The attack can be executed remotely. The vendor was contacted early about this disclosure.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS