A vulnerability was detected in MosaicML Composer up to 0.32.1. This affects the function tarball.extractall of the file composer/utils/checkpoint.py of the component Checkpoint Extraction. The manipulation results in path traversal.
The attack can be executed remotely. The vendor was contacted early about this disclosure.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
mosaicml:composer
Ссылки 6
https://vuldb.com/vuln/416887
VDB-416887 | MosaicML Composer Checkpoint Extraction checkpoint.py tarball.extractall path traversal
https://vuldb.com/vuln/416887/cti
VDB-416887 | CTI Indicators (IOB, IOC, TTP, IOA)
https://vuldb.com/cve/CVE-2026-109153
CVE-2026-109153 | CVE Analysis and Report
https://vuldb.com/submit/978647
Submit #978647 | mosaicml composer 0.32.1 Path Traversal
https://github.com/mosaicml/composer/issues/3942
NVD
https://github.com/mosaicml/composer/
NVD