PT-2025-40803 · Zenml · Zenml

CVE-2025-8406 · Publicado 2025-08-01 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ZenML versão 0.83.1

Descrição O software contém uma vulnerabilidade de path traversal na classe PathMaterializer. A função load utiliza is path within directory para validar arquivos durante a extração de data.tar.gz, o que não detecta corretamente links simbólicos e hard links. Isso pode permitir a gravação arbitrária de arquivos, potencialmente levando à execução arbitrária de comandos se arquivos críticos forem sobrescritos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-08020

CVE-2025-8406

GHSA-Q92X-2X5G-H365

PYSEC-2026-2071

Produtos afetados

Zenml

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/8xxx/CVE-2025-8406.json · Exploit
• 🔥 https://huntr.com/bounties/a0880d64-9928-45bf-9663-2cd81582d9e7 · Exploit
• https://github.com/zenml-io/zenml · Nota
• https://github.com/zenml-io/zenml/commit/5d22a48d7bf6c7f10b748577c2be79cc7969d398 · Correção
• https://osv.dev/vulnerability/CVE-2025-8406 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2026-08020 · Nota de Segurança
• https://t.me/cveNotify/137412 · Publicação no Telegram
• https://t.me/cveNotify/140946 · Publicação no Telegram
• https://pypi.org/project/zenml · Nota
• https://osv.dev/vulnerability/PYSEC-2026-2071 · Aviso do Fabricante
• https://t.me/CVEtracker/34172 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-8406 · Nota de Segurança
• https://github.com/advisories/GHSA-q92x-2x5g-h365 · Nota
• https://osv.dev/vulnerability/GHSA-q92x-2x5g-h365 · Aviso do Fabricante