CVE-2026-49950

Nome do Software Vulnerável e Versões Afetadas Xorbits Xoscar versões anteriores a 0.11.2

Description Uma falha de desserialização não autenticada existe nos canais TCP do actor-pool. Atacantes remotos podem executar código arbitrário com privilégios de root em nós de GPU enviando dados manipulados. O problema ocorre quando SocketChannel.recv() passa dados não validados para cloudpickle.loads(), desencadeando a execução de um gadget pickle reduce antes da validação do tipo de mensagem.

Recommendations Atualize o Xorbits Xoscar para uma versão posterior a 0.11.2.