PT-2026-54931 · Allegro Ai · Clearml

Publicado 2026-07-01 · Atualizado 2026-07-02 · CVE-2026-8387

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.4

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas allegroai/clearml versões anteriores a 2.1.6

Description Ocorre um traversal de caminho relativo durante a extração de arquivos .zip através do método ZipFile.extractall() dentro da função StorageManager. extract to cache(). Isso é causado pela falta de validação de traversal de caminho, permitindo que um invasor escreva arquivos arbitrários no sistema de arquivos. Os vetores de ataque incluem downloads de conjuntos de dados, artefatos e modelos, bem como importações de sessões offline. Isso pode levar à execução remota de código por meio de técnicas como a sobrescrita de chaves SSH, injeção de cron jobs ou implantação de web shells.

Recommendations Atualize para a versão 2.1.6.

Exploit

Correção

RCE

Relative Path Traversal

Enumeração de Fraquezas

CWE-23

Identificadores relacionados

CVE-2026-8387

Produtos afetados

Clearml

Referências · 6

• 🔥 https://huntr.com/bounties/0f69bb0b-728e-411c-8676-8f2dfaf238db · Exploit
• https://github.com/allegroai/clearml/commit/4fd611c564256e4f294a6db133705120f203f476 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8387 · Nota de Segurança
• https://twitter.com/CVEnew/status/2072324839419871391 · Publicação no Twitter
• https://t.me/cveNotify/185389 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2072325767275438307 · Publicação no Twitter