FICHE CVE

CVE-2024-27321

Publiée le 2024-09-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Refuel Autolabel (version 0.0.8 et versions ultérieures) est vulnérable à l'exécution de code arbitraire lors du traitement de fichiers CSV spécifiquement conçus durant des tâches de classification multi-labels. Un attaquant peut exécuter du code Python malveillant sur votre serveur s'il parvient à vous convaincre de télécharger et d'utiliser un fichier CSV corrompu. Comme cela nécessite une interaction de l'utilisateur et le téléchargement d'un fichier local, l'attaque ne peut pas être déclenchée à distance sans votre intervention.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-95 Injection CSV · CWE-1236

Publiée2024-09-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

6f8de1f0-f67e-45a6-b68f-98777fdb759c

Description officielle du NVD (en anglais)

An arbitrary code execution vulnerability exists in versions 0.0.8 and newer of the Refuel Autolabel library because of the way its multilabel classification tasks handle provided CSV files. If a user creates a multilabel classification task using a maliciously crafted CSV file containing Python code, the code will be passed to an eval function which executes it.