PT-2026-40124 · Ludwig · Ludwig

CVE-2026-31237 · Publicado 2026-05-12 · Atualizado 2026-06-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Ludwig framework versões anteriores a 0.10.5

Description Ocorre uma desserialização insegura através do método predict(). Quando um caminho de arquivo de conjunto de dados é fornecido a este método, a estrutura determina automaticamente o formato do arquivo. Se um arquivo pickle (.pkl) for utilizado, ele é carregado via função pandas.read pickle() sem validação ou restrições de segurança. Isso permite a desserialização de objetos Python arbitrários usando o módulo pickle inseguro, o que pode levar à execução de código arbitrário no sistema que executa a predição.

Recommendations Atualize para a versão 0.10.5 ou posterior. Como medida paliativa temporária, evite fornecer arquivos pickle (.pkl) ao método predict().

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-31237

GHSA-WCR3-GM9F-F87Q

PYSEC-2026-404

Produtos afetados

Ludwig

Referências · 7

• https://github.com/ludwig-ai/ludwig · Nota
• https://osv.dev/vulnerability/PYSEC-2026-404 · Aviso do Fabricante
• https://github.com/advisories/GHSA-wcr3-gm9f-f87q · Nota
• https://notion.so/CVE-2026-31237-35d1e139318881fb95a2ee7c5d0e17d8 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-31237 · Nota de Segurança
• https://pypi.org/project/ludwig · Nota
• https://osv.dev/vulnerability/GHSA-wcr3-gm9f-f87q · Aviso do Fabricante