CVE-2026-31237
Təsvir
Ludwig framework-ünün 0.10.4 versiyasına qədər olan versiyaları predict() metodu vasitəsilə təhlükəsiz olmayan deserializasiyaya (CWE-502) qarşı həssasdır. İstifadəçi predict() metoduna məlumat dəsti faylının yolunu təqdim etdikdə, framework avtomatik olaraq fayl formatını müəyyən edir. Əgər fayl pickle (.pkl) faylıdırsa, o, heç bir yoxlama və ya təhlükəsizlik məhdudiyyəti olmadan pandas.read_pickle() vasitəsilə yüklənir. Bu, təhlükəli pickle modulu vasitəsilə ixtiyari Python obyektlərinin deserializasiyasına imkan verir. Uzaqdakı hücumçu zərərli şəkildə hazırlanmış pickle faylı təqdim etməklə bundan istifadə edə bilər ki, bu da Ludwig proqnozlaşdırmasının işlədiyi sistemdə ixtiyari kodun icrasına səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ludwigPyPI | v ≤ 0.10.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.