CVE-2026-5536

WysokieCVSS 7.3

Opublikowano: 05/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

FedML-AI FedML do wersji 0.8.9 zawiera podatność na deserializację w funkcji sendMessage pliku grpc_server.py w komponencie serwera gRPC. Atakujący zdalnie może przeprowadzić manipulację prowadzącą do deserializacji, co może umożliwić wykonanie dowolnego kodu.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego wykonania kodu poprzez deserializację, co może prowadzić do pełnego przejęcia serwera FedML.

Rekomendacja

Zaleca się aktualizację FedML do wersji nowszej niż 0.8.9 lub zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do serwera gRPC.

Inne podatności w FedML

CVE-2026-5535Średnie
FedML-AI FedML w wersjach do 0.8.9 zawiera podatność na ścieżkę (path traversal) w komponencie MQTT Message Handler w pliku FileUtils.java. Atakujący może zdalnie manipulować argumentem dataSet, co prowadzi do dostępu do plików poza dozwolonym katalogiem.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in FedML-AI FedML up to 0.8.9. Affected is the function sendMessage of the file grpc_server.py of the component gRPC server. Executing a manipulation can lead to deserialization. The attack may be performed from remote. The vendor was contacted early about this disclosure but did not respond in any way.