Dem0000000

A security vulnerability has been detected in wandb 0.25.2.dev1. Affected is the function ArtifactManifestEntry.download in the library wandb/sdk/lib/hashutil.py of the component Artifact Integrity Validation. The manipulation leads to use of weak hash. The attack may be initiated remotely. A high degree of complexity is needed for the attack. The exploitability is told to be difficult. The pull request to fix this issue awaits acceptance.

**Nome do Software Vulnerável e Versões Afetadas** pyod versões 3.5.0 a 3.5.2 **Description** Uma falha de desserialização existe na função `pyod.utils.persistence.load()` dentro do arquivo `pyod/utils/persistence.py`. O problema ocorre porque o `joblib.load()` é executado antes de qualquer validação de envelope, permitindo que um invasor remoto execute código arbitrário ao manipular o argumento `path` para carregar um arquivo de modelo não confiável. Isso impacta especificamente pipelines de aprendizado de máquina que carregam modelos de uploads de usuários, pastas compartilhadas ou registros. **Recommendations** Atualize o pyod para uma versão onde a flag `trusted=True` seja exigida para o carregamento. Carregue apenas artefatos confiáveis e verifique assinaturas ou checksums. Implemente sandbox nos fluxos de carregamento para minimizar o risco de execução.

**Nome do Software Vulnerável e Versões Afetadas** yashbhalgat HashNeRF-pytorch versões até 82885e698295982504eb6a26d060a6b2473e3706 **Description** Um problema existe no componente Checkpoint File Handler onde a função `torch.load()` no arquivo `run nerf.py` é suscetível a desserialização. Isso ocorre quando o argumento `ckpt path` é manipulado, permitindo a potencial execução de código. Este ataque requer acesso local ao sistema. **Recommendations** Como medida paliativa temporária, evite usar o argumento `ckpt path` no arquivo `run nerf.py` até que o pull request pendente seja aceito e incorporado ao software.

**Nome do Software Vulnerável e Versões Afetadas** will-moss Isaiah versões anteriores a 1.37.0 **Description** Uma falha no componente Master Websocket Handler permite que atacantes remotos ignorem a autorização. O problema reside na função `Server.Handle()` localizada no arquivo `app/server/server/server.go`, onde a manipulação inadequada do argumento `Agent` possibilita a ausência de autorização. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** will-moss Isaiah versões anteriores a 1.37.0 **Descrição** Ocorre uma autenticação inadequada no componente Websocket Connection Authentication no arquivo app/main.go. Este problema permite que um invasor remoto ignore os mecanismos de autenticação. **Recomendações** Como medida paliativa temporária, restrinja o acesso ao componente Websocket Connection Authentication até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** waooAI waoowaoo versões anteriores a 0.4.2 **Description** Ocorre uma autenticação inadequada no componente Internal Task Header Handler dentro da biblioteca `src/lib/api-auth.ts`. O problema reside nas funções `getInternalTaskSession()`, `getAuthSession()`, `requireUserAuth()`, `requireProjectAuth()` e `requireProjectAuthLight()`. Um invasor remoto pode explorar isso manipulando o argumento de requisição `x-internal-user-id`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o uso do argumento `x-internal-user-id` em requisições para as funções afetadas para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** waooAI waoowaoo versões anteriores a 0.4.2 **Description** Ocorre uma autorização imprópria no componente Media Handler devido à manipulação do argumento `storageKey` dentro da função `stablePublicIdFromStorageKey()` localizada na biblioteca `src/lib/media/hash.ts`. Este problema permite que um invasor remoto ignore a autorização, embora o ataque exija um alto nível de complexidade e seja considerado difícil de executar. **Recommendations** Como medida paliativa temporária, restrinja o uso da função `stablePublicIdFromStorageKey()` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** zcaceres markdownify-mcp versões anteriores a 1.1.1 **Descrição** Uma falha existe na função `saveToTempFile()` dentro do arquivo `src/Markdownify.ts` dos componentes webpage-to-markdown, youtube-to-markdown e bing-search-to-markdown. Este problema resulta na geração de valores insuficientemente aleatórios. A exploração requer execução local e é caracterizada por alta complexidade e dificuldade de exploração. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.