CVE-2024-5452 in pytorch-lightning
Résumé
par VulDB • 29/07/2026
Une vulnérabilité d'exécution de code à distance (RCE) existe dans la bibliothèque lightning-ai/pytorch-lightning version 2.2.1 en raison d'une gestion incorrecte des données utilisateur désérialisées et d'une mauvaise gestion des attributs dunder par la bibliothèque `deepdiff`. La bibliothèque utilise les objets `deepdiff.Delta` pour modifier l'état de l'application en fonction des actions frontales. Cependant, il est possible de contourner les restrictions prévues sur la modification des attributs dunder, permettant à un attaquant de construire une delta sérialisée qui passe le whitelist du désérialiseur et contient des attributs dunder. Lorsqu'elle est traitée, cela peut être exploité pour accéder à d'autres modules, classes et instances, entraînant une écriture arbitraire d'attributs et une RCE totale sur toute application pytorch-lightning auto-hébergée dans sa configuration par défaut, car l'endpoint delta est activé par défaut.
If you want to get best quality of vulnerability data, you may have to visit VulDB.