ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-35043

bentoml BentoML

BentoML: command injection in cloud deployment setup script (deployment.py)

CVSS 3.1
7.8بالا

شرح رسمی (انگلیسی)

BentoML is a Python library for building online serving systems optimized for AI apps and model inference. Prior to 1.4.38, the cloud deployment path in src/bentoml/_internal/cloud/deployment.py was not included in the fix for CVE-2026-33744. Line 1648 interpolates system_packages directly into a shell command using an f-string without any quoting. The generated script is uploaded to BentoCloud as setup.sh and executed on the cloud build infrastructure during deployment, making this a remote code execution on the CI/CD tier. This vulnerability is fixed in 1.4.38.

امتیازهای CVSS

امتیازنسخهمنبعبردار
7.8بالا 3.1 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
bentoml BentoML < 1.4.38 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
کانال تلگرام کُلون @kolunsec_fa تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۱/۱۷
آخرین به‌روزرسانی
۱۴۰۵/۰۱/۱۸
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۲٪
احتمال بهره‌برداری در ۳۰ روز
۲۵٫۲٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
اثبات مفهوم
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-78
    Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')