PT-2026-38613 · Bentoml+1 · Bentoml

Larlarua · Publicado 2026-05-07 · Atualizado 2026-05-26 · CVE-2026-40610

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas BentoML versões anteriores a 1.4.39

Description O fluxo de trabalho de empacotamento bentoml build segue links simbólicos (symlinks) controlados por atacantes dentro do contexto de compilação e copia o conteúdo dos arquivos referenciados para o artefato Bento gerado. Isso ocorre porque o sistema não valida se o caminho resolvido de um arquivo permanece dentro do contexto de compilação antes de desreferenciar o caminho de origem. Um atacante pode inserir um link simbólico apontando para arquivos locais sensíveis no host de compilação, como credenciais de nuvem, chaves SSH, tokens de API ou arquivos de ambiente. Quando o processo de compilação é executado, esses arquivos são empacotados no artefato Bento e podem ser posteriormente vazados por meio de fluxos de exportação, envio (push) ou conteinerização.

Recommendations Atualize para a versão 1.4.39.

Exploit

Correção

Link Following

Enumeração de Fraquezas

CWE-59

Identificadores relacionados

CVE-2026-40610

GHSA-MCFX-4VC6-QGXV

Produtos afetados

Bentoml

Referências · 9

• 🔥 https://github.com/bentoml/BentoML/security/advisories/GHSA-mcfx-4vc6-qgxv · Exploit
• https://github.com/bentoml/BentoML/commit/5fb7cd41f92e2a56b45391284cf15b9ac9963a1f · Correção
• https://github.com/bentoml/BentoML/releases/tag/v1.4.39 · Nota
• https://github.com/bentoml/BentoML · Nota
• https://twitter.com/CVEnew/status/2058155782110396488 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40610 · Nota de Segurança
• https://t.me/cveNotify/164718 · Publicação no Telegram
• https://t.me/CVEtracker/54672 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mcfx-4vc6-qgxv · Aviso do Fabricante