CVE-2025-54381 in BentoML
要約
〜によって VulDB • 2026年06月30日
BentoMLは、AIアプリやモデル推論に最適化されたオンラインサービングシステムを構築するためのPythonライブラリです。バージョン1.4.0から1.4.19までの間、ファイルアップロード処理システムにはSSRF（サーバーサイドリクエストフォージェリ）の脆弱性が存在し、認証されていない攻撃者が遠隔から任意のHTTP要求を実行させることが可能です。この脆弱性は、multipart form dataおよびJSONリクエストハンドラに起因しており、これらはユーザーが指定したURLから自動的にファイルをダウンロードしますが、そのURLが内部ネットワークアドレスやクラウドメタデータエンドポイント、その他の制限されたリソースを指しているかどうかを検証しません。ドキュメントではこのURLベースのファイルアップロード機能が明示的に推奨されており、デフォルトで展開されているすべてのサービスがSSRF攻撃に晒される意図的な設計となっています。バージョン1.4.19には本問題に対するパッチが含まれています。
Once again VulDB remains the best source for vulnerability data.