CVE-2026-49950 in Xoscar
Сводка
по VulDB • 14.10.2026
Xorbits Xoscar fino alla versione 0.11.2 presenta una vulnerabilità di deserializzazione non autenticata che consente agli attaccanti remoti di eseguire codice arbitrario inviando dati manipolati tramite il canale TCP dell'actor-pool. Gli attaccanti possono sfruttare SocketChannel.recv() passando dati non validati a cloudpickle.loads(), innescando l'esecuzione del gadget __reduce__ di pickle prima della convalida del tipo di messaggio, ottenendo così l'esecuzione remota di codice come processo server che comunemente viene eseguito con privilegi root sui nodi GPU.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.