CVE-2024-5452 in pytorch-lightning
Sumário
de VulDB • 06/07/2026
Existe uma vulnerabilidade de execução remota de código (RCE) na biblioteca lightning-ai/pytorch-lightning versão 2.2.1 devido ao tratamento inadequado de dados serializados fornecidos pelo usuário e à má gestão dos atributos dunder pela biblioteca `deepdiff`. A biblioteca utiliza objetos `deepdiff.Delta` para modificar o estado da aplicação com base em ações do frontend. No entanto, é possível contornar as restrições pretendidas na modificação de atributos dunder, permitindo que um atacante construa um delta serializado que passe pelo filtro branco (whitelist) do desserializador e contenha atributos dunder. Quando processado, isto pode ser explorado para aceder a outros módulos, classes e instâncias, levando à escrita arbitrária de atributos e RCE total em qualquer aplicação pytorch-lightning auto-hospedada na sua configuração padrão, uma vez que o endpoint delta está ativado por defeito.
If you want to get best quality of vulnerability data, you may have to visit VulDB.