Remote code execution in pytorch lightning
A remote code execution (RCE) vulnerability exists in the lightning-ai/pytorch-lightning library version 2.2.1 due to improper handling of deserialized user input and mismanagement of dunder attributes by the deepdiff library. The library uses deepdiff.Delta objects to modify application state based on frontend actions. However, it is possible to bypass the intended restrictions on modifying dunder attributes, allowing an attacker to construct a serialized delta that passes the deserializer whitelist and contains dunder attributes. When processed, this can be exploited to access other modules, classes, and instances, leading to arbitrary attribute write and total RCE on any self-hosted pytorch-lightning application in its default configuration, as the delta endpoint is enabled by default.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | lightning | < 2.3.3 | 2.3.3 |
| Python (PyPI) | pytorch-lightning | < 2.3.3 | 2.3.3 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2024-5452
- https://github.com/Lightning-AI/pytorch-lightning/issues/20038
- https://github.com/lightning-ai/pytorch-lightning/commit/330af381de88cff17515418a341cbc1f9f127f9a
- https://github.com/Lightning-AI/pytorch-lightning/releases/tag/2.3.3
- https://github.com/lightning-ai/pytorch-lightning
- https://huntr.com/bounties/486add92-275e-4a7b-92f9-42d84bc759da
- https://pypi.org/project/lightning
- https://github.com/advisories/GHSA-cgwc-qvrx-rf7f
- Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-913, CWE-915- Plataforma
- Python (PyPI)
- Paquete
lightning, pytorch-lightning- Publicada
- 06.06.2024
- Actualizado
- 11.10.2026 15:18
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-385 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-cgwc-qvrx-rf7f - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-3974 - PyPA Advisory Database; CC BY 4.0
Historial de vulnerabilidades: lightning
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 9
- Primera → última
- 12.2021 07.2026
- Sin corrección
- 2
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 5
- Alta 4
Divulgaciones por año
- 2021: 1
- 2022: 1
- 2023: 0
- 2024: 2
- 2025: 2
- 2026: 3
-
Remote code execution in pytorch lightning esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.