CVE-2026-112098
ŚrednieCVSS 6.3Streszczenie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji resolve w pliku deeppavlov/core/common/params.py, w komponencie Config Reference Resolver. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać publiczny exploit do wstrzyknięcia kodu w aplikacjach wykorzystujących DeepPavlov, co może prowadzić do wykonania dowolnego kodu. Brak reakcji projektu zwiększa ryzyko długotrwałego narażenia.
Rekomendacja
Ogranicz lub zweryfikuj dane wejściowe przekazywane do funkcji resolve i rozważ wdrożenie własnej poprawki lub izolacji komponentu. Monitoruj zgłoszenie i aktualizuj bibliotekę, gdy pojawi się poprawiona wersja.
Inne podatności w DeepPavlov
Zobacz wszystkie- CVE-2026-112100Średnie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-109155Średnie
W DeepPavlov do wersji 1.7.0 znaleziono lukę w funkcji untar w komponencie Model Download Handler. Manipulacja powoduje path traversal. Atak można przeprowadzić zdalnie. Projekt został wcześnie poinformowany o problemie przez zgłoszenie, ale jeszcze nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in DeepPavlov up to 1.7.0. Impacted is the function resolve of the file deeppavlov/core/common/params.py of the component Config Reference Resolver. The manipulation results in code injection. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS