PT-2024-28848 · Doccano · Doccano

Gian2Dchris · Publicado 2024-09-23 · Atualizado 2024-09-26 · CVE-2024-40441

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Doccano – Ferramentas de anotação de código aberto para profissionais de aprendizado de máquina, versão 1.8.4

Doccano – Módulo Auto Labeling Pipeline para anotar documentos automaticamente, versão 0.1.23

Descrição

A vulnerabilidade permite que um invasor remoto obtenha privilégios elevados por meio do parâmetro model attribs. Isso pode ser explorado por meio da manipulação de argumentos, representando um risco de ataque remoto.

Recomendações

Para o Doccano, ferramentas de anotação de código aberto para profissionais de aprendizado de máquina, versão 1.8.4, atualize urgentemente o componente afetado para mitigar o risco.

Para o módulo Doccano Auto Labeling Pipeline para anotar um documento automaticamente, versão 0.1.23, atualize urgentemente o componente afetado para mitigar o risco.

Como solução alternativa temporária, considere restringir o acesso ao parâmetro model attribs até que um patch esteja disponível.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-40441

Produtos afetados

Doccano

Referências · 9

• 🔥 https://github.com/gian2dchris/CVEs/tree/main/CVE-2024-40441 · Exploit
• https://github.com/doccano/doccano/releases/tag/v1.8.4 · Nota
• https://github.com/doccano/auto-labeling-pipeline/releases/tag/v0.1.23 · Nota
• https://twitter.com/CVEnew/status/1838258272006021547 · Publicação no Twitter
• https://t.me/cvedetector/6197 · Publicação no Telegram
• https://twitter.com/oktsec/status/1838301835909599570 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1838289677972836525 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-40441 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-40441 · Nota de Segurança