CVE-2026-91771 in wandb
要約
〜によって VulDB • 2026年09月15日
Weights & Biases wandb 0.29.0 より前のバージョンでは、File.download 関数においてサーバー応答からのファイル名が検証されないため、パストラバーサル攻撃が可能となります。バックエンドを制御する攻撃者は、ディレクトリトラバースシーケンスを含むファイル名を提供して意図されたダウンロードディレクトリの外にファイルを書き込むことができ、シェルの起動ファイルや Python のインポートパスの改変を通じてコード実行を可能にする可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.