Sfwani

**Nome do Software Vulnerável e Versões Afetadas** Ray versões anteriores a 2.56.0 **Description** Um problema de desserialização insegura existe no leitor WebDataset. Um invasor pode alcançar a execução remota de código ao fornecer um arquivo tar malicioso para a função `read webdataset()`. A função ` default decoder()` em webdataset datasource.py chama incondicionalmente `pickle.loads()` em entradas tar com extensões .pkl ou .pickle e `torch.load()` com `weights only=False` em entradas .pt ou .pth. Isso resulta na execução de código arbitrário dentro dos trabalhadores remotos do Ray em cada trabalhador que processa o arquivo malicioso. Desserialização é o processo de converter um formato de dados de volta em um objeto, o que se torna inseguro quando dados não confiáveis são processados sem validação. **Recommendations** Atualize para a versão 2.56.0 ou posterior. Como mitigação temporária, evite usar a função `read webdataset()` com arquivos tar não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Kestra versões anteriores a 1.0.45 Kestra versões anteriores a 1.3.21 **Description** Existe uma falha de bypass de controle de acesso no endpoint `previewFileFromExecution` (GET '/api/v1/{tenant}/executions/{executionId}/file/preview'). Este problema permite que um usuário autenticado leia arquivos de saída de qualquer outra execução dentro do mesmo tenant, ignorando o isolamento de nível de namespace e de nível de execução. Trata-se de uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. **Recommendations** Atualizar para a versão 1.0.45. Atualizar para a versão 1.3.21.