CVE-2024-5452 in pytorch-lightning
要約
〜によって VulDB • 2026年07月02日
lightning-ai/pytorch-lightning ライブラリのバージョン 2.2.1 に、リモートコード実行（RCE）の脆弱性が存在します。これは、シリアライズ解除されたユーザー入力の不適切な処理と、`deepdiff` ライブラリによる dunder 属性の誤った管理に起因します。本ライブラリは `deepdiff.Delta` オブジェクトを使用して、フロントエンドのアクションに基づいてアプリケーションの状態を変更しますが、dunder 属性の変更に関する意図された制限を回避し、シリアライズ解除後のホワイトリストを通過して dunder 属性を含むシリアライズ済みデルタを作成することが可能です。これを処理すると、他のモジュール、クラス、およびインスタンスにアクセスでき、任意の属性書き込みが可能となり、デフォルト設定で delta エンドポイントが有効になっているため、すべてのセルフホスト型 pytorch-lightning アプリケーションにおいて完全な RCE が発生します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.