Zaloguj się
Deutsch English Español Polski
Wysoka

BentoML vulnerable to Uncontrolled Resource Consumption

  • Ujawniono: 20.03.2025
  • Aktualizacja: 11.10.2026 12:19

In bentoml/bentoml version 1.3.9, the /login endpoint of the newly integrated Gradio app is vulnerable to a Denial of Service (DoS) attack. This vulnerability can be exploited by appending characters, such as dashes (-), to the end of a multipart boundary in an HTTP request. The server continuously processes each character, leading to excessive resource consumption and rendering the service unavailable. The issue is unauthenticated and does not require any user interaction.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) bentoml <= 1.3.9 brak poprawki

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400
Platforma
Python (PyPI)
Paczka
bentoml
Ujawniono
20.03.2025
Aktualizacja
11.10.2026 12:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hh3j-9m59-p8vc - CC BY 4.0

Historia podatności: bentoml

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (17) w archiwum
Wszystkich wpisów
17
Pierwsza → ostatnia
04.2024 07.2026
Bez poprawki
5
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 10
  • Średnia 2

Ujawnienia w latach

Istotność:
  1. A vulnerability was found in bentoml OpenLLM 0.6.30. This affects the function async_run_command of the file src/openllm/common.py of the component Model Repository Directory Name Handler. Performing
    Wysoka · 7.8 CVE-2026-15035 <= 0.6.30 brak poprawki
  2. Dockerfile command injection via envs[*].name in bentofile.yaml (sibling fix-bypass of CVE-2026-33744 and CVE-2026-35043)
    Wysoka · 8.8 CVE-2026-44346 < 1.4.39 1.4.39
  3. BentoML Dockerfile command injection via docker.base_image (sister of pending GHSA-w2pm-x38x-jp44 / CVE-2026-33744 / CVE-2026-35043)
    Wysoka · 8.8 CVE-2026-44345 < 1.4.39 1.4.39
  4. BentoML: SSTI via Unsandboxed Jinja2 in Dockerfile Generation
    Wysoka · 8.8 CVE-2026-35044 < 1.4.38 1.4.38
  5. BentoML: Command Injection in cloud deployment setup script
    Wysoka · 7.8 CVE-2026-35043 < 1.4.38 1.4.38
  6. BentoML has Dockerfile Command Injection via system_packages in bentofile.yaml
    Wysoka · 7.8 CVE-2026-33744 < 1.4.37 1.4.37
  7. BentoML Vulnerable to Arbitrary File Write via Symlink Path Traversal in Tar Extraction
    Wysoka CVE-2026-27905 < 1.4.36 1.4.36
  8. BentoML has a Path Traversal via Bentofile Configuration
    Wysoka · 7.4 CVE-2026-24123 < 1.4.34 1.4.34
  9. BentoML SSRF Vulnerability in File Upload Processing
    Krytyczna · 9.9 CVE-2025-54381 >= 1.4.0, < 1.4.19 1.4.19
  10. BentoML is a Python library for building online serving systems optimized for AI apps and model inference. Prior to 1.4.8, there was an insecure deserialization in BentoML's runner server. By setting
    Krytyczna · 9.8 CVE-2025-32375 >= 1.0.0, < 1.4.8 1.4.8
  11. BentoML Allows Remote Code Execution (RCE) via Insecure Deserialization
    Krytyczna · 9.8 CVE-2025-27520 >= 1.3.4, < 1.4.3 1.4.3
  12. BentoML Denial of Service (DoS) via Multipart Boundary
    Wysoka · 7.5 CVE-2024-9056 <= 1.4.5 brak poprawki
  13. BentoML deserialization vulnerability
    Krytyczna · 9.8 CVE-2024-9070 <= 1.4.5 brak poprawki
  14. BentoML vulnerable to Uncontrolled Resource Consumption ten wpis
    Wysoka · 7.5 ghsa-hh3j-9m59-p8vc <= 1.3.9 brak poprawki
  15. Insecure deserialization in BentoML
    Krytyczna · 9.8 CVE-2024-2912 < 1.2.5 1.2.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.