FICHE CVE

CVE-2024-27320

Publiée le 2024-09-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Refuel Autolabel (version 0.0.8 et ultérieures) est susceptible de permettre l'exécution de code arbitraire lors du traitement de certaines tâches de classification. Un attaquant peut prendre le contrôle total du système en incitant un utilisateur à télécharger un fichier CSV spécialement conçu contenant du code Python malveillant. Cela nécessite un accès local au système ainsi qu'une interaction de l'utilisateur, car la victime doit lancer manuellement la tâche en utilisant le fichier malveillant.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-95 Injection CSV · CWE-1236

Publiée2024-09-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

6f8de1f0-f67e-45a6-b68f-98777fdb759c

Description officielle du NVD (en anglais)

An arbitrary code execution vulnerability exists in versions 0.0.8 and newer of the Refuel Autolabel library because of the way its classification tasks handle provided CSV files. If a victim user creates a classification task using a maliciously crafted CSV file containing Python code, the code will be passed to an eval function which executes it.