CVE-2026-63767
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
ktransformers do wersji 0.6.3 włącznie (poprawione w commicie def0f93) zawiera nieuwierzytelnioną podatność na deserializację pickle, która umożliwia zdalnym atakującym wykonanie dowolnych poleceń poprzez wysłanie spreparowanych ładunków pickle do gniazda ZMQ ROUTER SchedulerServer, które jest związane ze wszystkimi interfejsami sieciowymi. Atakujący mogą wykorzystać złośliwe metody __reduce__ osadzone w spreparowanych ładunkach pickle do wykonania dowolnych poleceń powłoki jako proces serwera.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji systemu, kradzieży danych i przejęcia kontroli nad aplikacją.
Rekomendacja
Zaktualizuj ktransformers do wersji zawierającej commit def0f93 lub nowszej, która usuwa tę podatność.
Oryginalny opis (angielski, źródło NVD)
ktransformers through 0.6.3, fixed in commit def0f93, contains an unauthenticated pickle deserialization vulnerability that allows remote attackers to execute arbitrary commands by sending crafted pickle payloads to the SchedulerServer ZMQ ROUTER socket bound to all interfaces. Attackers can exploit malicious __reduce__ methods embedded in crafted pickle payloads to execute arbitrary shell commands as the server process.