8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Evidently UI fails to properly validate the filename parameter in the dataset materialization endpoint, allowing unauthenticated attackers to read arbitrary files outside the workspace directory. Attackers can supply traversal sequences or absolute paths in the filename field to access system files, which are then materialized into datasets and retrieved through the download endpoint.
Засегнати продукти
- evidentlyai evidently: до 0.7.21
Вид слабост
История
- 17 август 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-75111
- https://nvd.nist.gov/vuln/detail/CVE-2026-75111
- https://github.com/evidentlyai/evidently/issues/1887
- https://github.com/evidentlyai/evidently
- https://github.com/evidentlyai/evidently/blob/main/src/evidently/ui/service/datasets/data_source.py
- https://www.vulncheck.com/advisories/evidently-ui-path-traversal-via-dataset-materialization-filename