CVE-2026-91771

WysokieCVSS 8.8

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.17%

Percentyl 66 - wyżej niż 66% wszystkich znanych CVE

Streszczenie

Wykryto podatność w Weights & Biases wandb przed wersją 0.29.0, która nie waliduje nazw plików z odpowiedzi serwera w funkcji File.download, co umożliwia ataki typu path traversal. Atakujący kontrolujący backend może dostarczyć nazwy plików z sekwencjami przejść katalogów, aby zapisywać pliki poza zamierzonym katalogiem pobierania, co może prowadzić do wykonania kodu poprzez modyfikację plików startowych powłoki lub ścieżek importu Pythona.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu lub nieautoryzowanego zapisu plików w systemie, co może prowadzić do pełnej kompromitacji.

Rekomendacja

Należy zaktualizować wandb do wersji 0.29.0 lub nowszej oraz ograniczyć zaufanie do odpowiedzi serwera.

Inne podatności w wandb

CVE-2026-15605Niskie
W bibliotece wandb w wersji 0.25.2.dev1 wykryto podatność w funkcji ArtifactManifestEntry.download w pliku hashutil.py. Polega ona na użyciu słabej funkcji skrótu (hash) podczas walidacji integralności artefaktów. Atak może być przeprowadzony zdalnie, ale wymaga wysokiego stopnia złożoności.

Oryginalny opis (angielski, źródło NVD)

Weights & Biases wandb before 0.29.0 fails to validate the file name from server responses in the File.download function, allowing path traversal attacks. Attackers controlling the backend can supply file names with directory traversal sequences to write files outside the intended download directory, potentially enabling code execution through modification of shell startup files or Python import paths.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS