Podatności DeepPavlov

W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji MultiTaskPipelinePreprocessor.__init__ w pliku deeppavlov/models/preprocessors/multitask_preprocessor.py. Manipulacja argumentem preprocessor prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.

W DeepPavlov do wersji 1.7.0 wykryto podatność w funkcji resolve w pliku deeppavlov/core/common/params.py, w komponencie Config Reference Resolver. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a projekt nie odpowiedział jeszcze na zgłoszenie.

W DeepPavlov do wersji 1.7.0 znaleziono lukę w funkcji untar w komponencie Model Download Handler. Manipulacja powoduje path traversal. Atak można przeprowadzić zdalnie. Projekt został wcześnie poinformowany o problemie przez zgłoszenie, ale jeszcze nie odpowiedział.