CVE-2026-31237
Qu'est-ce que CVE-2026-31237 ?
Le framework Ludwig jusqu'à la version 0.10.4 est vulnérable à la désérialisation non sécurisée (CWE-502) via sa méthode predict(). Lorsqu'un utilisateur fournit un chemin de fichier d'ensemble de données à la méthode Predict(), le framework détermine automatiquement le format de fichier. Si le fichier est un fichier pickle (.pkl), il est chargé à l'aide de pandas.read_pickle() sans aucune validation ni restriction de sécurité. Cela permet la désérialisation d'objets Python arbitraires via le module pickle non sécurisé. Un attaquant distant peut exploiter cela en fournissant un fichier pickle conçu de manière malveillante, conduisant à l'exécution de code arbitraire sur le système exécutant Lu.
FAQ
CVE-2026-31237 a un score CVSS de N/D/10, évalué comme Inconnu. Consultez la liste des produits affectés et appliquez les correctifs du fournisseur.
Le CVSS (Common Vulnerability Scoring System) évalue la gravité des vulnérabilités de 0,0 à 10,0. CVE-2026-31237 obtient N/D/10 (Inconnu). Les scores de 9,0–10,0 sont Critiques, 7,0–8,9 Élevés, 4,0–6,9 Moyens et inférieurs à 4,0 Faibles.
La liste des appareils confirmés comme étant affectés par CVE-2026-31237 est indiquée dans la section "Appareils affectés" ci-dessus. Comparez votre version de firmware avec l'avis de sécurité du fournisseur et appliquez le dernier correctif.
Appliquez la dernière mise à jour du firmware ou du logiciel du fournisseur. Consultez la section Références ci-dessus pour les avis officiels et les notes de correctif. Si aucun correctif n'est disponible, envisagez de désactiver la fonctionnalité affectée ou d'isoler l'appareil des réseaux non fiables.