PT-2025-43576 · Ms-Swift · Ms-Swift

CVE-2025-41419 · Publicado 2025-07-31 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:P

Nome do Software Vulnerável e Versões Afetadas ms-swift (versões afetadas não especificadas)

Description A injeção de comandos é possível através da interface de Treinamento de LLM do web-ui. Um invasor pode manipular o parâmetro --output dir para executar comandos arbitrários no sistema hospedeiro. Isso ocorre porque o método train() em swift.ui.llm train.llm train.LLMTrain concatena diretamente parâmetros fornecidos pelo usuário em comandos do sistema, e o método train local() em swift.ui.llm train.llm train.LLMTrain executa esses comandos usando os.system().

Recommendations Modificar o método train() em swift.ui.llm train.llm train.LLMTrain para interromper a concatenação direta de parâmetros com comandos recebidos do frontend. Substituir o uso de os.system() no método train local() de swift.ui.llm train.llm train.LLMTrain por subprocess.run() utilizando uma lista de argumentos para garantir a execução segura de comandos.

Correção

Enumeração de Fraquezas

CWE-117

Identificadores relacionados

CVE-2025-41419

GHSA-7C78-RM87-5673

PYSEC-2026-1682

Produtos afetados

Ms-Swift

Referências · 8

• https://github.com/modelscope/ms-swift · Nota
• https://github.com/modelscope/ms-swift/commit/32f09e9b0a44f19d44210e2b5b47c58ab01740e1 · Nota
• https://github.com/modelscope/ms-swift/security/advisories/GHSA-7c78-rm87-5673 · Nota
• https://osv.dev/vulnerability/GHSA-7c78-rm87-5673 · Aviso do Fabricante
• https://github.com/advisories/GHSA-7c78-rm87-5673 · Nota
• https://osv.dev/vulnerability/PYSEC-2026-1682 · Aviso do Fabricante
• https://pypi.org/project/ms-swift · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-41419 · Nota de Segurança