CVE-2026-44484
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w PyTorch Lightning w wersjach 2.6.2 i 2.6.2 wprowadza funkcjonalność umożliwiającą kradzież poświadczeń (credential harvesting).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przechwytywania wrażliwych danych uwierzytelniających, co prowadzi do nieautoryzowanego dostępu do systemów i danych.
Rekomendacja
Należy natychmiast zaktualizować PyTorch Lightning do najnowszej dostępnej wersji, która usuwa tę podatność, oraz przejrzeć konfiguracje pod kątem podejrzanych zmian.
Inne podatności w PyTorch Lightning
Zobacz wszystkie- CVE-2026-31221Wysokie
Wersje PyTorch-Lightning 2.6.0 i wcześniejsze zawierają podatność na niebezpieczną deserializację w mechanizmie ładowania punktów kontrolnych. Metoda LightningModule.load_from_checkpoint() wywołuje torch.load() bez ustawienia parametru security-restrictive weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.
- CVE-2026-58659Wysokie
Podatność w PyTorch Lightning do wersji 2.6.5 (załatana w commicie d710d68) umożliwia zdalne wykonanie kodu poprzez funkcję _load_state, która importuje i wykonuje nazwy modułów kontrolowane przez atakującego z hiperparametrów _instantiator w plikach punktów kontrolnych. Atakujący mogą stworzyć złośliwe pliki checkpoint, które omijają zabezpieczenia weights_only=True i wykonują dowolny kod podczas wywołania LightningModule.load_from_checkpoint.
Oryginalny opis (angielski, źródło NVD)
PyTorch Lightning is a deep learning framework to pretrain and finetune AI models. Versions 2.6.2 and 2.6.2 have introduced functionality consistent with a credential harvesting mechanism.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS