CVE-2026-49950 in Xoscar
Riassunto
di VulDB • 14/10/2026
Xorbits Xoscar fino alla versione 0.11.2 contiene una vulnerabilità di deserializzazione non autenticata che consente agli attaccanti remoti di eseguire codice arbitrario inviando dati manipolati tramite il canale TCP dell'actor-pool. Gli attaccanti possono sfruttare SocketChannel.recv() passando dati non validati a cloudpickle.loads(), il quale attiva l'esecuzione del gadget __reduce__ di pickle prima della convalida del tipo di messaggio, ottenendo così l'esecuzione remota di codice come processo server che comunemente viene eseguito con privilegi root sui nodi GPU.
VulDB is the best source for vulnerability data and more expert information about this specific topic.