Zaloguj się
Deutsch English Español Polski
Krytyczna

Ray OS Command Injection vulnerability

  • Ujawniono: 16.11.2023
  • Aktualizacja: 11.10.2026 15:17

A command injection exists in Ray's cpu_profile URL parameter allowing attackers to execute os commands on the system running the ray dashboard remotely without authentication.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) ray < 2.8.1 2.8.1

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-78
Platforma
Python (PyPI)
Paczka
ray
Ujawniono
16.11.2023
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-519 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h3xg-wv58-5p43 - CC BY 4.0

Historia podatności: ray

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum
Wszystkich wpisów
11
Pierwsza → ostatnia
11.2023 07.2026
Bez poprawki
2
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 6
  • Wysoka 3
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. Ray: Arbitrary code execution via ray.data.read_webdataset default decoder: pickle.loads(value) and torch.load(weights_only=False)
    Wysoka · 8.8 CVE-2026-57516 < 2.56.0 2.56.0
  2. Ray: Remote Code Execution via Parquet Arrow Extension Type Deserialization
    Wysoka CVE-2026-41486 >= 2.49.0, < 2.55.0 2.55.0
  3. A path traversal vulnerability was identified in Ray Dashboard (default port 8265) in Ray versions prior to 2.8.1. Due to improper validation and sanitization of user-supplied paths in the static file
    Wysoka · 7.5 CVE-2026-32981 < 2.8.1 2.8.1
  4. Ray's New Token Authentication is Disabled By Default
    Krytyczna CVE-2025-34351 <= 2.52.0 brak poprawki
  5. Ray is vulnerable to Critical RCE via Safari & Firefox Browsers through DNS Rebinding Attack
    Krytyczna Wykorzystywana w atakach CVE-2025-62593 < 2.52.0 2.52.0
  6. Ray has arbitrary code execution via jobs submission API
    Krytyczna · 9.8 CVE-2023-48022 <= 2.49.2 brak poprawki
  7. Ray Missing Authorization vulnerability
    Krytyczna · 9.3 CVE-2023-6020 < 2.8.1 2.8.1
  8. Ray OS Command Injection vulnerability ten wpis
    Krytyczna · 9.8 CVE-2023-6019 < 2.8.1 2.8.1
  9. Ray Path Traversal vulnerability
    Krytyczna · 9.3 CVE-2023-6021 < 2.8.1 2.8.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.