CVE-2026-120334

ŚrednieCVSS 4.3

Opublikowano: 02/11/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 02/11/2026(UTC)NVD NIST

Streszczenie

W deepset-ai farm do wersji 0.8.0 wykryto podatność path traversal w funkcji EmbeddingTokenizer.from_pretrained w pliku farm/modeling/tokenization.py komponentu Tokenizer Loader. Manipulacja argumentem vocab_filename prowadzi do path traversal, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie; podatność dotyczy produktów niewspieranych przez opiekuna.

Ocena ryzyka

Zdalny atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem, co grozi wyciekiem danych lub nadpisaniem plików.

Rekomendacja

Należy zaprzestać używania niewspieranej wersji deepset-ai farm i przejść na utrzymywany zamiennik lub wdrożyć własne ograniczenia ścieżek dla vocab_filename.

Inne podatności w deepset-ai farm

CVE-2026-120335Średnie
W deepset-ai farm do wersji 0.8.0 wykryto podatność path traversal w funkcji WordEmbedding_LM.load w pliku farm/modeling/language_model.py komponentu Model Package Loader. Manipulacja argumentem embeddings_filename prowadzi do path traversal, a atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie; podatność dotyczy produktów niewspieranych przez opiekuna.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in deepset-ai farm up to 0.8.0. This impacts the function EmbeddingTokenizer.from_pretrained of the file farm/modeling/tokenization.py of the component Tokenizer Loader. Executing a manipulation of the argument vocab_filename can lead to path traversal. The attack may be performed from remote. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS