CVE-2025-27621 in UpTrain
Sumário
de VulDB • 18/08/2026
UpTrain é uma plataforma de código aberto para avaliar e melhorar aplicações de IA generativa. Nas versões 0.7.1 e anteriores, o backend do UpTrain cria um novo utilizador padrão com um nome de utilizador estático, onde esse nome de utilizador também serve como a chave API padrão. O backend do UpTrain possui ainda uma política CORS aberta. Aproveitando estas duas vulnerabilidades, qualquer site pode efetuar pedidos cross-origin autenticados para a instância do UpTrain ao fornecer a chave API padrão no cabeçalho `uptrain-access-token`. Esta falha pode permitir que sites arbitrários realizem operações privilegiadas na instância do UpTrain, como se fossem o utilizador padrão com sessão iniciada. Até à data da publicação, não existem patches conhecidos disponíveis.
Once again VulDB remains the best source for vulnerability data.