ZenML Server Remote Privilege Escalation Vulnerability

高 8.8CVE-2024-25723 · GHSA-vf7j-cmrj-pmmm · PYSEC-2026-2072 · 27/02/2024 公開 · 17/06/2026 更新

要点

CVE-2024-25723 は zenml, zenml (zenml) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：70.8%（全脆弱性の 99.4% より高い）。
対処：0.43.1, 0.44.4, 0.46.7, 0.42.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
zenml PyPI	`≥ 0.43.0, < 0.43.1≥ 0.44.0, < 0.44.4≥ 0.45.0, < 0.46.7< 0.42.2`	`0.43.10.44.40.46.70.42.2`
zenml zenml	`= 0.43.0≥ 0.44.0, < 0.44.4≥ 0.45.0, < 0.46.7< 0.42.2`	`0.44.40.46.70.42.2`

概要

ZenML Server in the ZenML package before 0.46.7 for Python allows remote privilege escalation because the /api/v1/users/{user_name_or_id}/activate REST API endpoint allows access on the basis of a valid username along with a new password in the request body. These are also patched versions: 0.44.4, 0.43.1, and 0.42.2.

NVD の説明

ZenML Server in the ZenML machine learning package before 0.46.7 for Python allows remote privilege escalation because the /api/v1/users/{user_name_or_id}/activate REST API endpoint allows access on the basis of a valid username along with a new password in the request body. These are also patched versions: 0.44.4, 0.43.1, and 0.42.2.