Baja

zenml-io/zenml does not expire the session after password reset

Publicada: 08.06.2024
Actualizado: 11.10.2026 13:18

A vulnerability in zenml-io/zenml version 0.56.3 allows attackers to reuse old session credentials or session IDs due to insufficient session expiration. Specifically, the session does not expire after a password change, enabling an attacker to maintain access to a compromised account without the victim's ability to revoke this access. This issue was observed in a self-hosted ZenML deployment via Docker, where after changing the password from one browser, the session remained active and usable in another browser without requiring re-authentication.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	zenml	<= 0.56.3	sin corrección

Referencias

Puntuación CVSS 3.9/10

Vector CVSS: CVSS:3.0/AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L
Debilidad (CWE): CWE-613
Plataforma: Python (PyPI)
Paquete: zenml
Publicada: 08.06.2024
Actualizado: 11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-2069 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-99hm-86h7-gr3g - CC BY 4.0

Historial de vulnerabilidades: zenml

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (14) en el archivo

Entradas en total: 14
Primera → última: 02.2024 10.2025
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 2
Media 8
Baja 3

Divulgaciones por año

2024: 12
2025: 2
2026: 0

20.03.2025

A Denial of Service (DoS) vulnerability in zenml-io/zenml version 0.66.0 allows unauthenticated attackers to cause excessive resource consumption by sending malformed multipart requests with arbitrary

Alta · 7.5 CVE-2024-9340 < 0.68.0 0.68.0
08.06.2024

zenml-io/zenml does not expire the session after password reset esta entrada

Baja · 3.9 CVE-2024-4680 <= 0.56.3 sin corrección
16.04.2024

A directory traversal vulnerability exists in the zenml-io/zenml repository, specifically within the /api/v1/steps endpoint. Attackers can exploit this vulnerability by manipulating the 'logs' URI pat

Crítica · 9.9 CVE-2024-2083 < 0.55.5 0.55.5
27.02.2024

ZenML Server Remote Privilege Escalation Vulnerability

Alta · 6.5 CVE-2024-25723 < 0.42.2, >= 0.43.0, < 0.43.1, >= 0.45.0, < 0.46.7, >= 0.44.0, < 0.44.4 0.42.2, 0.43.1, 0.46.7, 0.44.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación