CVE-2026-109155
ŚrednieCVSS 6.3Streszczenie
W DeepPavlov do wersji 1.7.0 znaleziono lukę w funkcji untar w komponencie Model Download Handler. Manipulacja powoduje path traversal. Atak można przeprowadzić zdalnie. Projekt został wcześnie poinformowany o problemie przez zgłoszenie, ale jeszcze nie odpowiedział.
Ocena ryzyka
Atakujący może zapisywać lub odczytywać pliki poza docelowym katalogiem podczas rozpakowywania modeli, co może prowadzić do nadpisania plików lub wykonania kodu.
Rekomendacja
Waliduj ścieżki podczas rozpakowywania archiwów modeli i ogranicz zapisy do bezpiecznego katalogu; rozważ własną poprawkę, ponieważ projekt nie odpowiedział.
Inne podatności w DeepPavlov
Zobacz wszystkie- CVE-2026-112100Średnie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-112098Średnie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji resolve w pliku deeppavlov/core/common/params.py, w komponencie Config Reference Resolver. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in DeepPavlov up to 1.7.0. This impacts the function untar of the component Model Download Handler. This manipulation causes path traversal. The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS