CVE-2026-5536
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
FedML-AI FedML do wersji 0.8.9 zawiera podatność na deserializację w funkcji sendMessage pliku grpc_server.py w komponencie serwera gRPC. Atakujący zdalnie może przeprowadzić manipulację prowadzącą do deserializacji, co może umożliwić wykonanie dowolnego kodu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu poprzez deserializację, co może prowadzić do pełnego przejęcia serwera FedML.
Rekomendacja
Zaleca się aktualizację FedML do wersji nowszej niż 0.8.9 lub zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do serwera gRPC.
Inne podatności w FedML
Zobacz wszystkie- CVE-2026-90614Średnie
W FedML-AI FedML do wersji 0.9.6 zidentyfikowano słabość. Dotyczy ona funkcji S3Storage.read_model w pliku fedml/core/distributed/communication/s3/remote_storage.py komponentu MQTT+S3 Communication Backend, a manipulacja argumentem s3_key_str powoduje deserializację. Zdalne wykorzystanie jest możliwe, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-5535Średnie
FedML-AI FedML w wersjach do 0.8.9 zawiera podatność na ścieżkę (path traversal) w komponencie MQTT Message Handler w pliku FileUtils.java. Atakujący może zdalnie manipulować argumentem dataSet, co prowadzi do dostępu do plików poza dozwolonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in FedML-AI FedML up to 0.8.9. Affected is the function sendMessage of the file grpc_server.py of the component gRPC server. Executing a manipulation can lead to deserialization. The attack may be performed from remote. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS