CVE-2026-15605
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W bibliotece wandb w wersji 0.25.2.dev1 wykryto podatność w funkcji ArtifactManifestEntry.download w pliku hashutil.py. Polega ona na użyciu słabej funkcji skrótu (hash) podczas walidacji integralności artefaktów. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego stopnia złożoności.
Ocena ryzyka
Organizacja narażona jest na ryzyko naruszenia integralności danych przechowywanych w artefaktach, co może prowadzić do podmiany lub manipulacji danymi bez wykrycia. Atak jest trudny do przeprowadzenia, ale w przypadku powodzenia może mieć poważne konsekwencje dla zaufania do systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki po jej udostępnieniu oraz monitorowanie repozytorium wandb w celu wdrożenia poprawki. Do czasu wydania łatki należy ograniczyć dostęp do funkcji związanych z artefaktami i stosować dodatkowe mechanizmy weryfikacji integralności.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in wandb 0.25.2.dev1. Affected is the function ArtifactManifestEntry.download in the library wandb/sdk/lib/hashutil.py of the component Artifact Integrity Validation. The manipulation leads to use of weak hash. The attack may be initiated remotely. A high degree of complexity is needed for the attack. The exploitability is told to be difficult. The pull request to fix this issue awaits acceptance.