A flaw has been found in DeepPavlov up to 1.7.0. This impacts the function untar of the component Model Download Handler. This manipulation causes path traversal.
The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
n/a:deeppavlov
Ссылки 6
https://vuldb.com/vuln/416888
VDB-416888 | DeepPavlov Model Download untar path traversal
https://vuldb.com/vuln/416888/cti
VDB-416888 | CTI Indicators (IOB, IOC, TTP, IOA)
https://vuldb.com/cve/CVE-2026-109155
CVE-2026-109155 | CVE Analysis and Report
https://vuldb.com/submit/978673
Submit #978673 | deeppavlov DeepPavlov 1.13.0 Path Traversal
https://github.com/deeppavlov/DeepPavlov/issues/1711
NVD
https://github.com/deeppavlov/DeepPavlov/
NVD