CVE-2026-15529

إصدارات pyod من 3.5.0 إلى 3.5.2

يوجد عيب في عملية إزالة التسلسل في الدالة pyod.utils.persistence.load() الموجودة في الملف pyod/utils/persistence.py. تحدث هذه المشكلة لأن الدالة joblib.load() تُنفَّذ قبل أي عملية تحقق من صحة الغلاف، مما يسمح لمهاجم عن بُعد بتشغيل تعليمات برمجية تعسفية عن طريق التلاعب بالمعلمة path لتحميل ملف نموذج غير موثوق به. ويؤثر هذا بشكل خاص على مسارات التعلم الآلي التي تقوم بتحميل النماذج من ملفات تم تحميلها بواسطة المستخدمين أو المجلدات المشتركة أو السجلات.

قم بتحديث pyod إلى إصدار يتطلب العلامة trusted=True للتحميل.

قم بتحميل العناصر الموثوقة فقط وتحقق من التوقيعات أو المجموعات الاختبارية.

قم بتشغيل عمليات التحميل في بيئة عزل (Sandbox) لتقليل مخاطر التنفيذ.