PyTorch Lightning path traversal vulnerability

NGHIÊM TRỌNG 9.1CVE-2024-8019 · GHSA-4cv3-v7pv-rfhf · PYSEC-2026-3970 · Công bố 20/03/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-8019 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.1) ảnh hưởng lightning, pytorch-lightning, pytorch lightning (lightningai).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.1%, cao hơn 66.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.4.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
lightning PyPI	`< 2.4.0`	`2.4.0`
pytorch-lightning PyPI	`< 2.4.0`	`2.4.0`
pytorch lightning lightningai	`= 2.3.2`	Chưa có bản vá

Mô tả

In lightning-ai/pytorch-lightning version 2.3.2, a vulnerability exists in the LightningApp when running on a Windows host. The vulnerability occurs at the /api/v1/upload_file/ endpoint, allowing an attacker to write or overwrite arbitrary files by providing a crafted filename. This can lead to potential remote code execution (RCE) by overwriting critical files or placing malicious files in sensitive locations.

Mô tả của NVD

In lightning-ai/pytorch-lightning version 2.3.2, a vulnerability exists in the `LightningApp` when running on a Windows host. The vulnerability occurs at the `/api/v1/upload_file/` endpoint, allowing an attacker to write or overwrite arbitrary files by providing a crafted filename. This can lead to potential remote code execution (RCE) by overwriting critical files or placing malicious files in sensitive locations.