PT-2024-31815

CVE-2024-45858

Publicado

2024-09-18

Atualizado

2026-07-07

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 0.2.9 a 0.5.10 da estrutura Guardrails AI Guardrails

Descrição

Existe uma vulnerabilidade de execução de código arbitrário devido à forma como a estrutura Guardrails AI Guardrails valida arquivos XML. Se um arquivo XML maliciosamente criado contendo código Python for carregado, o código será executado na máquina do usuário, pois é passado para uma função eval.

Recomendações

Para as versões 0.2.9 a 0.5.10 da estrutura Guardrails AI Guardrails, considere desativar o recurso de validação de XML até que um patch esteja disponível para impedir a possível execução de código. Restrinja o acesso ao carregamento de arquivos XML de fontes não confiáveis para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Leo Ring

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-95: Improper Neutralization of Directives in Dynamically Evaluated Code (\'Eval Injection\')

Identificadores relacionados

CVE-2024-45858

GHSA-W392-75Q8-VR67