PT-2026-45457 · Git · Anomali Match

Ivan Marković · CVE-2026-38950 · Publicado 2026-06-01 · Atualizado 2026-06-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ESA AnomalyMatch versões anteriores a 1.3.1

Descrição Um problema permite que atacantes executem código arbitrário por meio do uso de arquivos de checkpoint de modelo manipulados. O problema ocorre porque os componentes afetados carregam arquivos de modelo de diretórios de sessão usando a função torch.load() com desserialização irrestrita, um processo onde os dados são convertidos de volta em um objeto sem a validação suficiente.

Recomendações Atualize o ESA AnomalyMatch para a versão 1.3.1 ou posterior.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-38950

Produtos afetados

Anomali Match

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/38xxx/CVE-2026-38950.json · Exploit
• 🔥 https://github.com/Accenture/AARO-Bugs/blob/master/AARO-CVE-List.md · Exploit
• https://github.com/esa/AnomalyMatch/pull/9 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-38950 · Nota de Segurança
• https://imlabs.info/research/security_advisory_esa_anomaly_match_unsafe_deserialization_cve_2026_38950_ivan_markovic_052026.html · Nota
• https://osv.dev/vulnerability/CVE-2026-38950 · Aviso do Fabricante