PT-2025-12276 · Zenml · Zenml

Publicado 2025-03-20 · Atualizado 2025-07-15 · CVE-2024-9340

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas zenml versão 0.66.0

Descrição Uma vulnerabilidade de Negação de Serviço (DoS) permite que atacantes não autenticados causem consumo excessivo de recursos enviando solicitações multipart malformadas com caracteres arbitrários anexados ao final dos delimitadores multipart. Essa falha no mecanismo de processamento de delimitadores de solicitação multipart leva a um loop infinito, resultando em uma negação de serviço completa para todos os usuários. Os endpoints de API afetados incluem /api/v1/login e /api/v1/device authorization.

Recomendações zenml versão 0.66.0: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

Resource Exhaustion

Infinite Loop

Enumeração de Fraquezas

CWE-400

CWE-835

Identificadores relacionados

CVE-2024-9340

GHSA-6GMF-2369-C76C

PYSEC-2025-57

Produtos afetados

Zenml

Referências · 10

• 🔥 https://huntr.com/bounties/c9200654-7dc0-4c1d-8573-ab79a87fb4f6 · Exploit
• https://github.com/zenml-io/zenml · Nota
• https://github.com/zenml-io/zenml/commit/cba152eb9ca3071c8372b0b91c02d9d3351de48d · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/zenml/PYSEC-2025-57.yaml · Nota
• https://osv.dev/vulnerability/CVE-2024-9340 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-9340 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2025-57 · Aviso do Fabricante
• https://t.me/cvenotify/128976 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-6gmf-2369-c76c · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1903336844131176743 · Publicação no Twitter