PT-2026-51837
CVE-2026-56121
·
تاريخ النشر
2026-06-24
·
تاريخ التحديث
2026-06-26
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Feast الأقدم من 0.63.0
الوصف
توجد مشكلة غير آمنة في عملية إزالة التسلسل في خادم التسجيل، مما يسمح للمهاجمين غير المصادق عليهم أو غير المصرح لهم بتنفيذ التعليمات البرمجية عن بُعد. من خلال إرسال طلب gRPC مُصمم خصيصًا، يمكن للمهاجم استغلال الحقل
user defined function.body في مواصفات OnDemandFeatureView. يتم فك تشفير هذا الحقل باستخدام base64 وتمريره إلى الدالة dill.loads() قبل إجراء أي فحوصات للتفويض. وهذا يسمح بتضمين كائن Python متسلسل ضار مع طريقة reduce تعسفية لتنفيذ أوامر نظام التشغيل بموجب امتيازات حساب خدمة Feast.التوصيات
التحديث إلى الإصدار 0.63.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾