Modular Max Serve has Unsafe Deserialization vulnerability

高 8.4CVE-2025-60455 · GHSA-7xcv-9j6c-2fmc · PYSEC-2025-253 · 18/11/2025 公開 · 05/11/2026 更新

要点

CVE-2025-60455 は max, modular, max (modular) に影響する深刻度「高」 (CVSS 8.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.33%（全脆弱性の 26.6% より高い）。
対処：25.6.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
max PyPI	`< 25.6.0`	`25.6.0`
modular PyPI	`< 25.6.0`	`25.6.0`
max modular	`< 25.6.0`	`25.6.0`

概要

Unsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature is used allowing attackers to execute arbitrary code.

NVD の説明

Unsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature is used allowing attackers to execute arbitrary code.

参考情報

nvd.nist.gov/vuln/detail/CVE-2025-60455 · ADVISORY
modular/modular · WEB
modular/modular commit 1062005 · WEB
modular/modular commit b20e749 · WEB
modular/modular commit ee9c4ab · WEB
modular/modular · PACKAGE
modular/modular · WEB
oligo.security/blog/shadowmq-how-code-reuse-spread-critical-vulnerabilities-across-the-ai-ecosystem · WEB
pypi.org/project/modular · PACKAGE
GitHub Advisory GHSA-7xcv-9j6c-2fmc · ADVISORY

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

max

PyPI

< 25.6.0

25.6.0

modular

PyPI

< 25.6.0

25.6.0

max

modular

< 25.6.0

25.6.0

概要

Unsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature is used allowing attackers to execute arbitrary code.

NVD の説明

Unsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature is used allowing attackers to execute arbitrary code.