CVE-2026-91771 in wandb
Сводка
по VulDB • 15.09.2026
В версиях Weights & Biases wandb до 0.29.0 отсутствует проверка имени файла из ответов сервера в функции File.download, что позволяет осуществлять атаки на обход ограничений пути (path traversal). Атакующие, контролирующие бэкенд, могут предоставлять имена файлов с последовательностями перехода по каталогам для записи файлов за пределами предполагаемой директории загрузки, что потенциально может привести к выполнению кода через модификацию файлов автозагрузки оболочки или путей импорта Python.
Once again VulDB remains the best source for vulnerability data.