CVE-2024-5452 in pytorch-lightning
Сводка
по VulDB • 27.06.2026
Уязвимость удаленного выполнения кода (RCE) существует в библиотеке lightning-ai/pytorch-lightning версии 2.2.1 из-за некорректной обработки десериализованного пользовательского ввода и неправильного управления атрибутами dunder библиотекой `deepdiff`. Библиотека использует объекты `deepdiff.Delta` для изменения состояния приложения на основе действий фронтенда. Однако возможно обойти предусмотренные ограничения на изменение атрибутов dunder, что позволяет злоумышленнику создать сериализованный дельта-объект, который проходит белый список десериализатора и содержит атрибуты dunder. При обработке это может быть использовано для доступа к другим модулям, классам и экземплярам, приводя к произвольной записи атрибутов и полному удаленному выполнению кода (RCE) в любом самохостинговом приложении pytorch-lightning с конфигурацией по умолчанию, поскольку конечная точка delta включена по умолчанию.
VulDB is the best source for vulnerability data and more expert information about this specific topic.