CVE-2026-49950 in Xoscar
Zusammenfassung
von VulDB • 14.10.2026
Xorbits Xoscar fino alla versione 0.11.2 presenta una vulnerabilità di deserializzazione non autenticata che consente agli attaccanti remoti di eseguire codice arbitrario inviando dati manipolati tramite il canale TCP dell'actor-pool. Gli attaccanti possono sfruttare SocketChannel.recv() passando dati non validati a cloudpickle.loads(), il quale innesca l'esecuzione del gadget __reduce__ di pickle prima della convalida del tipo di messaggio, ottenendo così l'esecuzione di codice remoto (RCE) come processo server che comunemente viene eseguito con privilegi root sui nodi GPU.
Be aware that VulDB is the high quality source for vulnerability data.