CVE-2026-8387
Təsvir
allegroai/clearml-in 1.16.5 daxil olmaqla daha aşağı versiyalarında mövcud olan zəiflik, `StorageManager._extract_to_cache()` funksiyasındakı `ZipFile.extractall()` metodundan istifadə edərək `.zip` arxivlərini çıxararkən nisbi yol keçidinə (relative path traversal) şərait yaradır. Bu problem yol keçidinin yoxlanılmaması səbəbindən yaranır və hücumçunun fayl sisteminə ixtiyari faylları yazmasına imkan verir. Hücum vektorlarına verilənlər bazasının yüklənməsi, artefaktların yüklənməsi, modellərin yüklənməsi və oflayn sessiya idxalları daxildir. Zəiflik cron tapşırıqlarının inyeksiyası, SSH açarlarının üzərinə yazılması və ya veb-shell yerləşdirilməsi kimi üsullarla uzaqdan kodun icrasına səbəb ola bilər. Problem 2.1.6 versiyasında həll edilmişdir.
Necə düzəltmək olar
- allegroai allegroai/clearml2.1.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| allegroai allegroai/clearml | v < 2.1.6 | 2.1.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.