CVE-2024-8769
CVE-2024-8769 · Arbitrary File Deletion via Relative Path Traversal in aimhubio/aim
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
A vulnerability in the `LockManager.release_locks` function in aimhubio/aim (commit bb76afe) allows for arbitrary file deletion through relative path traversal. The `run_hash` parameter, which is user-controllable, is concatenated without normalization as part of a path used to specify file deletion. This vulnerability is exposed through the `Repo._close_run()` method, which is accessible via the tracking server instruction API. As a result, an attacker can exploit this to delete any arbitrary file on the machine running the tracking server.
CVSS 9.1 · Критический · EPSS 0,9%
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
aimhubio/aim
- Версии
- ≥ unspecified, ≤ latest: Затронуто (custom)
Нет опубликованного исправления
aim PyPI
- Версии
- 3.15.0
- 3.15.1
- 3.15.2
- 3.16.0
- 3.16.1
- 3.16.2
- 3.17.0
- 3.17.1
- 3.17.2
- 3.17.3
- 3.17.4
- 3.17.5
- 3.17.5rc1
- 3.17.5rc2
- 3.17.5rc3
- 3.17.5rc4
- 3.18.0
- 3.18.0.dev2
- 3.18.0.dev3
- 3.18.0.dev4
- 3.18.0.dev5
- 3.18.1
- 3.19.0
- 3.19.1
- 3.19.2
- 3.19.3
- 3.20.1
- 3.21.0
- 3.22.0
- 3.23.0
- 3.24.0
- 3.25.0
- 3.25.1
- 3.26.0.dev1
- 3.26.1
- 3.27.0
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 3.15.0, ≤ 3.27.0
Нет опубликованного исправления