autogluon.multimodal vulnerable to unsafe YAML deserialization
Impact
A potential unsafe deserialization issue exists within the autogluon.multimodal module, where YAML files are loaded via yaml.load() instead of yaml.safe_load(). The deserialization of untrusted data may allow an unprivileged third party to cause remote code execution, denial of service, and impact to both confidentiality and integrity.
Impacted versions: >=0.4.0;<0.4.3, >=0.5.0;<0.5.2.
Patches
The patches are included in autogluon.multimodal==0.4.3, autogluon.multimodal==0.5.2 and Deep Learning Containers 0.4.3 and 0.5.2.
Workarounds
Do not load data which originated from an untrusted source, or that could have been tampered with. Only load data you trust.
References
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | autogluon-multimodal | >= 0.4.0, < 0.4.3, >= 0.5.0, < 0.5.2 | 0.4.3, 0.5.2 |
Referencias
- Debilidad (CWE)
CWE-502- Plataforma
- Python (PyPI)
- Paquete
autogluon-multimodal- Publicada
- 21.09.2022
- Actualizado
- 11.10.2026 12:18
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-6h2x-4gjf-jc5w - CC BY 4.0
Historial de vulnerabilidades: autogluon-multimodal
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.