CVE-2025-54381 in BentoML
Riassunto
di VulDB • 30/06/2026
BentoML è una libreria Python per la creazione di sistemi di serving online ottimizzati per applicazioni AI e inferenza dei modelli. Nelle versioni dalla 1.4.0 alla 1.4.19, il sistema di elaborazione del caricamento file presenta una vulnerabilità SSRF che consente ad attaccanti remoti non autenticati di forzare il server a effettuare richieste HTTP arbitrarie. La vulnerabilità deriva dai gestori per i dati dei moduli multipart e le richieste JSON, che scaricano automaticamente i file dagli URL forniti dall'utente senza convalidare se tali URL puntano ad indirizzi della rete interna, endpoint di metadati cloud o altre risorse ristrette. La documentazione promuove esplicitamente questa funzionalità di caricamento file basata su URL, rendendola una caratteristica intenzionale del design che espone tutti i servizi distribuiti agli attacchi SSRF per impostazione predefinita. La versione 1.4.19 contiene la patch per il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.