CVE-2024-5452 in pytorch-lightning
الملخص
بحسب VulDB • 07/07/2026
توجد ثغرة في تنفيذ الأكواد عن بُعد (RCE) في مكتبة lightning-ai/pytorch-lightning الإصدار 2.2.1 بسبب المعالجة غير السليمة لإدخال المستخدم المُجسَّد (deserialized)، وسوء إدارة السمات الخاصة بالثنائيات (dunder attributes) بواسطة المكتبة `deepdiff`. تستخدم هذه المكتبة كائنات `deepdiff.Delta` لتعديل حالة التطبيق بناءً على إجراءات الواجهة الأمامية. ومع ذلك، من الممكن تجاوز القيود المقصودة على تعديل سمات الثنائيات، مما يسمح لمهاجم ببناء دلتا مُجسَّدة تتجاوز القائمة البيضاء للمُفسِّر (deserializer) وتحتوي على سمات ثنائية. عند معالجتها، يمكن استغلال هذا للوصول إلى وحدات أخرى وفئات وعينات برمجية مختلفة، ما يؤدي إلى كتابة عشوائية للسموات وتنفيذ كامل للأكواد عن بُعد في أي تطبيق pytorch-lightning مُستضاف ذاتياً يعمل بإعداداته الافتراضية، نظراً لأن نقطة نهاية الدلتا (delta endpoint) مفعّلة افتراضياً.
Be aware that VulDB is the high quality source for vulnerability data.