CVE-2026-120335

ŚrednieCVSS 4.8

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

W deepset-ai farm do wersji 0.8.0 wykryto podatność path traversal w funkcji WordEmbedding_LM.load w pliku farm/modeling/language_model.py komponentu Model Package Loader. Manipulacja argumentem embeddings_filename prowadzi do path traversal, a atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie; podatność dotyczy produktów niewspieranych przez opiekuna.

Ocena ryzyka

Lokalny atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem, co grozi wyciekiem danych lub nadpisaniem plików.

Rekomendacja

Należy zaprzestać używania niewspieranej wersji deepset-ai farm i przejść na utrzymywany zamiennik lub wdrożyć własne ograniczenia ścieżek dla embeddings_filename.

Inne podatności w deepset-ai farm

CVE-2026-120334Średnie
W deepset-ai farm do wersji 0.8.0 wykryto podatność path traversal w funkcji EmbeddingTokenizer.from_pretrained w pliku farm/modeling/tokenization.py komponentu Tokenizer Loader. Manipulacja argumentem vocab_filename prowadzi do path traversal, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie; podatność dotyczy produktów niewspieranych przez opiekuna.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in deepset-ai farm up to 0.8.0. Affected is the function WordEmbedding_LM.load of the file farm/modeling/language_model.py of the component Model Package Loader. The manipulation of the argument embeddings_filename leads to path traversal. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS