CVE-2026-112100
ŚrednieCVSS 5.5Streszczenie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać publiczny exploit do wstrzyknięcia kodu w aplikacjach wykorzystujących DeepPavlov, co może prowadzić do wykonania dowolnego kodu. Brak reakcji projektu zwiększa ryzyko długotrwałego narażenia.
Rekomendacja
Ogranicz lub zweryfikuj dane wejściowe przekazywane do MultiTaskPipelinePreprocessor i rozważ wdrożenie własnej poprawki lub izolacji komponentu. Monitoruj zgłoszenie i aktualizuj bibliotekę, gdy pojawi się poprawiona wersja.
Inne podatności w DeepPavlov
Zobacz wszystkie- CVE-2026-112098Średnie
W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji resolve w pliku deeppavlov/core/common/params.py, w komponencie Config Reference Resolver. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.
- CVE-2026-109155Średnie
W DeepPavlov do wersji 1.7.0 znaleziono lukę w funkcji untar w komponencie Model Download Handler. Manipulacja powoduje path traversal. Atak można przeprowadzić zdalnie. Projekt został wcześnie poinformowany o problemie przez zgłoszenie, ale jeszcze nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in DeepPavlov up to 1.7.0. This affects the function MultiTaskPipelinePreprocessor.__init__ of the file deeppavlov/models/preprocessors/multitask_preprocessor.py. This manipulation of the argument preprocessor causes code injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS