autogluon.multimodal vulnerable to unsafe YAML deserialization
Impact
A potential unsafe deserialization issue exists within the autogluon.multimodal module, where YAML files are loaded via yaml.load() instead of yaml.safe_load(). The deserialization of untrusted data may allow an unprivileged third party to cause remote code execution, denial of service, and impact to both confidentiality and integrity.
Impacted versions: >=0.4.0;<0.4.3, >=0.5.0;<0.5.2.
Patches
The patches are included in autogluon.multimodal==0.4.3, autogluon.multimodal==0.5.2 and Deep Learning Containers 0.4.3 and 0.5.2.
Workarounds
Do not load data which originated from an untrusted source, or that could have been tampered with. Only load data you trust.
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | autogluon-multimodal | >= 0.4.0, < 0.4.3, >= 0.5.0, < 0.5.2 | 0.4.3, 0.5.2 |
Odnośniki
- Słabość (CWE)
CWE-502- Platforma
- Python (PyPI)
- Paczka
autogluon-multimodal- Ujawniono
- 21.09.2022
- Aktualizacja
- 11.10.2026 12:18
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-6h2x-4gjf-jc5w - CC BY 4.0
Historia podatności: autogluon-multimodal
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.