PT-2024-27280 · Unknown · Ydata-Profiling

Publicado 2024-06-04 · Atualizado 2024-06-04 · CVE-2024-37064

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ydata-profiling versões 3.7.0 ou mais recentes

Descrição

A desserialização de dados não confiáveis pode ocorrer na biblioteca de código aberto ydata-profiling, permitindo que um conjunto de dados criado com intenção maliciosa execute código arbitrário no sistema do usuário final quando carregado.

Recomendações

Para as versões 3.7.0 ou mais recentes, considere desativar a deserialização de dados não confiáveis como uma solução temporária até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-37064

GHSA-CG49-HRJ4-3RPR

Produtos afetados

Ydata-Profiling

Referências · 5

• https://github.com/ydataai/ydata-profiling · Nota
• https://hiddenlayer.com/sai-security-advisory/ydata-june2024 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-37064 · Nota de Segurança
• https://t.me/cvenotify/81914 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-cg49-hrj4-3rpr · Aviso do Fabricante