PT-2026-22843
CVE-2026-27905
·
تاريخ النشر
2026-03-03
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات BentoML الأقدم من 1.4.36
الوصف
BentoML هي مكتبة Python تُستخدم لبناء أنظمة الخدمات عبر الإنترنت لتطبيقات الذكاء الاصطناعي واستدلال النماذج. لا تقوم الدالة
safe extract tarfile() بالتحقق بشكل كامل من وجهات الروابط الرمزية داخل ملفات tar، مما قد يسمح لمهاجم بكتابة ملفات عشوائية في نظام ملفات المضيف. وعلى وجه التحديد، تتحقق الدالة من مسار الرابط الرمزي، ولكنها لا تتحقق من المسار الذي يشير إليه. يمكن للمهاجم إنشاء ملف tar ضار يحتوي على رابط رمزي يشير إلى خارج دليل الاستخراج المقصود، متبوعًا بملف يقوم، عند استخراجه، بكتابة البيانات عبر الرابط الرمزي إلى موقع خارج دليل الاستخراج.التوصيات
قم بتحديث BentoML إلى الإصدار 1.4.36 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾