PT-2025-40450 · Datachain · Datachain

Shcheklein · Publicado 2025-10-02 · Atualizado 2025-10-27 · CVE-2025-61677

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.5

Baixa

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do DataChain 0.34.1 e anteriores

Descrição O DataChain é um data warehouse de IA baseado em Python para transformar e analisar dados não estruturados. A biblioteca lê objetos serializados de variáveis de ambiente, especificamente DATACHAIN METASTORE e DATACHAIN WAREHOUSE, dentro do módulo loader.py. Esse processo permite a desserialização de dados não confiáveis. Um atacante que consiga definir essas variáveis de ambiente pode provocar a execução de código quando o aplicativo é carregado.

Recomendações Atualize para a versão 0.34.2 ou posterior.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-61677

GHSA-6PX8-MR29-CJ4R

ZDI-25-965

Produtos afetados

Datachain

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/61xxx/CVE-2025-61677.json · Exploit
• https://github.com/iterative/datachain/pull/1358 · Nota
• https://github.com/iterative/datachain · Nota
• https://github.com/iterative/datachain/commit/914b95610620d50c8d9bee506ccbfa7d4d57fdc0 · Nota
• https://github.com/iterative/datachain/security/advisories/GHSA-6px8-mr29-cj4r · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-61677 · Nota de Segurança
• https://t.me/CVEtracker/34065 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-25-965 · Nota de Segurança
• https://twitter.com/CVEnew/status/1974227109678551539 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-61677 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6px8-mr29-cj4r · Aviso do Fabricante
• https://t.me/cveNotify/137375 · Publicação no Telegram