جزئیات آسیب‌پذیری
CVE-2024-11039
binary-husky binary-husky/gpt_academic
Deserialization of Untrusted Data in binary-husky/gpt_academic
CVSS 3.0
8.8بالا
شرح رسمی (انگلیسی)
A pickle deserialization vulnerability exists in the Latex English error correction plug-in function of binary-husky/gpt_academic versions up to and including 3.83. This vulnerability allows attackers to achieve remote command execution by deserializing untrusted data. The issue arises from the inclusion of numpy in the deserialization whitelist, which can be exploited by constructing a malicious compressed package containing a merge_result.pkl file and a merge_proofread_en.tex file. The vulnerability is fixed in commit 91f5e6b.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.8بالا | 3.0 | CVEProject cvelistV5 (CNA) (@huntr_ai) | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| binary-husky | binary-husky/gpt_academic | v < 91f5e6b | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۳/۱۲/۳۰
- آخرین به‌روزرسانی
- ۱۴۰۳/۱۲/۳۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- @huntr_ai
پیش‌بینی بهره‌برداری (EPSS)
۲٫۱٪
احتمال بهره‌برداری در ۳۰ روز
۸۱٫۷٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-502Deserialization of Untrusted Data