PT-2025-30434 · Microsoft · Onnx

Geckosecurity · Publicado 2024-06-06 · Atualizado 2025-12-06 · CVE-2025-51480

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ONNX versão 1.17.0

Descrição Existe uma vulnerabilidade de path traversal na função onnx.external data helper.save external data. Isso permite que atacantes sobrescrevam arquivos arbitrários ao fornecerem caminhos external data.location manipulados contendo sequências de path traversal, o que contorna as restrições de diretório pretendidas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

AZL-65658

AZL-65661

CVE-2025-51480

GHSA-6RQ9-53C3-F7VJ

PYSEC-2025-148

Produtos afetados

Onnx

Referências · 30

• 🔥 https://gecko.security/blog/cve-2025-51480 · Exploit
• https://github.com/onnx/onnx/pull/6959 · Aviso do Fabricante
• https://github.com/onnx/onnx/pull/7040 · Aviso do Fabricante
• https://github.com/onnx/onnx · Nota
• https://github.com/onnx/onnx/commit/1b70f9b673259360b6a2339c4bd97db9ea6e552f · Nota
• https://github.com/onnx/onnx/pull/6222 · Nota
• https://github.com/onnx/onnx/issues/6215 · Nota
• https://github.com/onnx/onnx/commit/3fc3845edb048df559aa2a839e39e95503a0ee34 · Nota
• https://github.com/onnx/onnx/releases/tag/v1.16.2 · Nota
• https://github.com/onnx/onnx/pull/6145 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/onnx/PYSEC-2025-148.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-5187 · Nota de Segurança
• https://huntr.com/bounties/50235ebd-3410-4ada-b064-1a648e11237e · Nota
• https://twitter.com/nkoorty/status/1978434144267907128 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2025-148 · Aviso do Fabricante