CVE-2026-90614
ŚrednieCVSS 6.3Streszczenie
W FedML-AI FedML do wersji 0.9.6 zidentyfikowano słabość. Dotyczy ona funkcji S3Storage.read_model w pliku fedml/core/distributed/communication/s3/remote_storage.py komponentu MQTT+S3 Communication Backend, a manipulacja argumentem s3_key_str powoduje deserializację. Zdalne wykorzystanie jest możliwe, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać deserializację do wykonania dowolnego kodu lub przejęcia systemu. Brak odpowiedzi projektu zwiększa ryzyko pozostawienia podatności bez poprawki.
Rekomendacja
Należy ograniczyć dostęp sieciowy do komponentu MQTT+S3 Communication Backend i unikać przetwarzania niezaufanych danych wejściowych w s3_key_str. Zaleca się monitorowanie projektu w celu uzyskania poprawki i jej pilne wdrożenie.
Inne podatności w FedML
Zobacz wszystkie- CVE-2026-5536Wysokie
FedML-AI FedML do wersji 0.8.9 zawiera podatność na deserializację w funkcji sendMessage pliku grpc_server.py w komponencie serwera gRPC. Atakujący zdalnie może przeprowadzić manipulację prowadzącą do deserializacji, co może umożliwić wykonanie dowolnego kodu.
- CVE-2026-5535Średnie
FedML-AI FedML w wersjach do 0.8.9 zawiera podatność na ścieżkę (path traversal) w komponencie MQTT Message Handler w pliku FileUtils.java. Atakujący może zdalnie manipulować argumentem dataSet, co prowadzi do dostępu do plików poza dozwolonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in FedML-AI FedML up to 0.9.6. Affected by this issue is the function S3Storage.read_model of the file fedml/core/distributed/communication/s3/remote_storage.py of the component MQTT+S3 Communication Backend. This manipulation of the argument s3_key_str causes deserialization. Remote exploitation of the attack is possible. The project was informed of the problem early through an issue report but has not responded yet.