PT-2021-15442 · Qlib · Qlib

Ajmal Aboobacker · Publicado 2021-02-15 · Atualizado 2022-05-24 · CVE-2021-23338

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

qlib (versões afetadas não especificadas)

Descrição

A vulnerabilidade afeta a função de fluxo de trabalho na parte cli do qlib, que utilizava uma função de carregamento YAML insegura.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Code Injection

Enumeração de Fraquezas

CWE-502

CWE-94

Identificadores relacionados

CVE-2021-23338

GHSA-HJR4-FHGP-23G9

PYSEC-2021-86

SNYK-PYTHON-QLIB-1054635

Produtos afetados

Qlib

Referências · 12

• 🔥 https://github.com/418sec/huntr/pull/1329 · Exploit
• https://github.com/microsoft/qlib · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pyqlib/PYSEC-2021-86.yaml · Nota
• https://security.snyk.io/vuln/SNYK-PYTHON-PYQLIB-1085990 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23338 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-86 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-23338 · Aviso do Fabricante
• https://t.me/cibsecurity/23604 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hjr4-fhgp-23g9 · Aviso do Fabricante
• https://t.me/cvenotify/9970 · Publicação no Telegram
• https://snyk.io/vuln/SNYK-PYTHON-QLIB-1054635 · Nota
• https://t.me/cvenotify/10489 · Publicação no Telegram