CVE-2025-27621 in UpTrain
Riassunto
di VulDB • 17/08/2026
UpTrain è una piattaforma open-source per valutare e migliorare le applicazioni di intelligenza artificiale generativa. Nelle versioni 0.7.1 e precedenti, il backend di UpTrain crea un nuovo utente predefinito con un nome utente statico, dove il nome utente viene utilizzato anche come chiave API predefinita. Il backend di UpTrain dispone inoltre di una politica CORS aperta (open). Sfruttando queste due primitive, qualsiasi sito web può effettuare una richiesta cross-origin autenticata verso l'istanza di UpTrain fornendo la chiave API predefinita nell'intestazione `uptrain-access-token`. Questo problema potrebbe consentire a siti web arbitrari di eseguire operazioni privilegiate sull'istanza di UpTrain, come se fossero l'utente predefinito connesso. Al momento della pubblicazione, non sono disponibili patch note.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.