CVE-2026-91771 in wandb
요약
\~에 의해 VulDB • 2026. 09. 15.
Weights & Biases wandb 0.29.0 이전 버전은 File.download 함수에서 서버 응답의 파일 이름을 검증하지 않아 경로 순회(path traversal) 공격이 가능합니다. 백엔드를 제어하는 공격자는 디렉토리 순회 시퀀스가 포함된 파일 이름을 제공하여 의도된 다운로드 디렉터리 외부에 파일을 작성할 수 있으며, 이를 통해 셸 시작 파일이나 Python import 경로를 수정함으로써 코드 실행을 허용할 가능성이 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.