CVE-2026-47161
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
RELATE to pakiet kursów internetowych, który przed poprawką d66ba5659b459bf1ba56b7109b5f9ecf197cbefb konfigurował swoje pracowniki Celery do akceptowania i deserializacji nieufnych danych 'pickle'. Atakujący, który ma dostęp do brokera wiadomości, może wykonać dowolne polecenia na serwerze hosta.
Ocena ryzyka
Brak izolacji sieci w piaskownicy wykonawczej umożliwia uwierzytelnionemu studentowi uzyskanie pełnego zdalnego wykonania kodu (RCE) na systemie hosta, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji zawierającej poprawkę d66ba5659b459bf1ba56b7109b5f9ecf197cbefb, aby zabezpieczyć system przed tymi podatnościami.
Oryginalny opis (angielski, źródło NVD)
RELATE is a web-based courseware package. Prior to commit d66ba5659b459bf1ba56b7109b5f9ecf197cbefb, RELATE LMS configures its Celery workers to accept and deserialize untrusted 'pickle' data. An attacker who can reach the message broker can execute arbitrary commands on the host server. Combined with missing network isolation in the code execution sandbox, this allows an authenticated student to achieve full Remote Code Execution (RCE) on the host system. Commit d66ba5659b459bf1ba56b7109b5f9ecf197cbefb fixes the issue.