A vulnerability has been found in SeldonIO MLServer up to 1.6.1. Affected is the function _extract_env of the file mlserver/env.py of the component environment_tarball Handler. Such manipulation leads to path traversal.
The attack may be performed from remote. The vendor was contacted early about this disclosure but did not respond in any way.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Пассивное
Минимальное взаимодействие
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
seldonio:mlserver
Ссылки 6
https://vuldb.com/vuln/416889
VDB-416889 | SeldonIO MLServer environment_tarball env.py _extract_env path traversal
https://vuldb.com/vuln/416889/cti
VDB-416889 | CTI Indicators (IOB, IOC, TTP, IOA)
https://vuldb.com/cve/CVE-2026-109156
CVE-2026-109156 | CVE Analysis and Report
https://vuldb.com/submit/978677
Submit #978677 | SeldonIO MLServer 1.6.1 Path Traversal
https://github.com/SeldonIO/MLServer/issues/2553
NVD
https://github.com/SeldonIO/MLServer/
NVD