PT-2025-26242 · Upsonic · Upsonic

Resp4Ss · Publicado 2025-06-19 · Atualizado 2025-06-20 · CVE-2025-6279

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Upsonic até a 0.55.6

Descrição Uma falha crítica foi encontrada no componente Pickle Handler do Upsonic, afetando a função cloudpickle.loads. Esta falha leva à desserialização. O exploit foi divulgado publicamente e pode ser utilizado.

Recomendações Para versões até a 0.55.6, considere desativar a função cloudpickle.loads no componente Pickle Handler como uma solução temporária até que uma correção esteja disponível. Restrinja o acesso ao arquivo /tools/add tool para minimizar o risco de exploração.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

CWE-20

Identificadores relacionados

CVE-2025-6279

GHSA-RPFV-46XJ-5984

PYSEC-2025-68

Produtos afetados

Upsonic

Referências · 19

• 🔥 https://github.com/Upsonic/Upsonic/issues/353 · Exploit
• https://github.com/Upsonic/Upsonic · Nota
• https://github.com/Upsonic/Upsonic/pull/360#issuecomment-2979387098 · Nota
• https://github.com/Upsonic/Upsonic/commit/a54529acc6e4bfe28f4f5c80c058144348a306b7 · Nota
• https://github.com/Upsonic/Upsonic/pull/360 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/upsonic/PYSEC-2025-68.yaml · Nota
• https://vuldb.com/?submit.593099 · Nota
• https://twitter.com/CVEnew/status/1935812713508110788 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1935813861954793664 · Publicação no Twitter
• https://vuldb.com/?id.313283 · Nota
• https://vuldb.com/?ctiid.313283 · Nota
• https://t.me/cvenotify/126183 · Publicação no Telegram
• https://t.me/cvetracker/26590 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-6279 · Aviso do Fabricante
• https://twitter.com/transilienceai/status/1935921318899191823 · Publicação no Twitter