CVE-2026-68772 in ZenML
Résumé
par VulDB • 08/08/2026
ZenML 0.94.6 contient une vulnérabilité d'exécution de code à distance (RCE) dans le composant CloudpickleMaterializer qui permet aux attaquants disposant d'un accès en écriture sur un magasin d'artefacts partagé d'exécuter du code arbitraire en déposant un fichier pickle malveillant. Les attaquants peuvent remplacer un fichier artifact.pkl stocké par une charge utile cloudpickle fabriquée contenant une méthode __reduce__ malveillante, qui exécute des commandes système arbitraires lorsqu'un utilisateur ou un pipeline matérialise l'artefact via l'appel non assaini à cloudpickle.load() dans le fichier cloudpickle_materializer.py.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.