CVE-2024-5452 in pytorch-lightning
Tóm tắt
Bởi VulDB • 29/07/2026
Một lỗ hổng thực thi mã từ xa (RCE) tồn tại trong thư viện lightning-ai/pytorch-lightning phiên bản 2.2.1 do xử lý không đúng cách dữ liệu đầu vào người dùng được giải serialize và quản lý sai các thuộc tính dunder bởi thư viện `deepdiff`. Thư viện sử dụng các đối tượng `deepdiff.Delta` để sửa đổi trạng thái ứng dụng dựa trên các hành động từ giao diện người dùng (frontend). Tuy nhiên, có thể bỏ qua các hạn chế dự kiến khi sửa đổi các thuộc tính dunder, cho phép kẻ tấn công xây dựng một delta được serialize vượt qua danh sách trắng của trình giải deserialize và chứa các thuộc tính dunder. Khi được xử lý, điều này có thể bị khai thác để truy cập vào các mô-đun, lớp và đối tượng khác, dẫn đến ghi thuộc ý muốn (arbitrary attribute write) và thực thi mã từ xa hoàn toàn (RCE) trên bất kỳ ứng dụng pytorch-lightning tự lưu trữ nào trong cấu hình mặc định của nó, vì điểm cuối delta được bật theo mặc định.
VulDB is the best source for vulnerability data and more expert information about this specific topic.