CVE-2026-26210
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
KTransformers do wersji 0.5.3 zawiera podatność na niebezpieczną deserializację w trybie backendu balance_serve. Serwer RPC harmonogramu wiąże gniazdo ZMQ ROUTER ze wszystkimi interfejsami bez uwierzytelniania i deserializuje przychodzące wiadomości za pomocą pickle.loads() bez walidacji. Atakujący mogą wysłać spreparowany ładunek pickle do odsłoniętego gniazda ZMQ, aby wykonać dowolny kod na serwerze z uprawnieniami procesu ktransformers.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub całkowitego naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować KTransformers do wersji nowszej niż 0.5.3, jeśli taka jest dostępna, lub tymczasowo wyłączyć tryb balance_serve i ograniczyć dostęp do gniazda ZMQ za pomocą zapory sieciowej.
Oryginalny opis (angielski, źródło NVD)
KTransformers through 0.5.3 contains an unsafe deserialization vulnerability in the balance_serve backend mode where the scheduler RPC server binds a ZMQ ROUTER socket to all interfaces with no authentication and deserializes incoming messages using pickle.loads() without validation. Attackers can send a crafted pickle payload to the exposed ZMQ socket to execute arbitrary code on the server with the privileges of the ktransformers process.