डेटासेट अपलोड कार्यक्षमता में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता ClearML Enterprise Server 3.22.5-1533 में मौजूद है। एक विशेष रूप से तैयार किया गया HTTP अनुरोध मनमाना HTML कोड की ओर ले जा सकता है। एक

यह XSS भेद्यता हमलावरों को उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है। एक हमलावर एक विशेष रूप से तैयार HTTP अनुरोध भेजकर इस भेद्यता का फायदा उठा सकता है, जो उपयोगकर्ता के ब्राउज़र में मनमाना HTML कोड निष्पादित करता है। इससे हमलावर उपयोगकर्ता के सत्र कुकीज़ चुरा सकता है, उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकता है, या उपयोगकर्ता के खाते पर नियंत्रण प्राप्त कर सकता है। इस भेद्यता का उपयोग संवेदनशील डेटा को चुराने, सिस्टम को समझौता करने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है। XSS भेद्यता के कारण, हमलावर ClearML Enterprise Server के भीतर विशेषाधिकार प्राप्त कर सकता है, जिससे संभावित रूप से पूरे सिस्टम तक पहुंच प्राप्त हो सकती है।

Organizations that rely on ClearML Enterprise Server for machine learning experiment tracking and management are at risk. This includes data science teams, DevOps engineers, and anyone responsible for managing ClearML infrastructure. Specifically, deployments using older versions (3.22.5-1533) are highly vulnerable.

• generic web: Use curl to test the dataset upload endpoint with a simple XSS payload (e.g., `<script>alert(1)</script>). Check the response for the alert box.

curl -X POST -d '<script>alert(1)</script>' <dataset_upload_url>

• generic web: Examine access and error logs for requests containing suspicious HTML tags or JavaScript code related to dataset uploads. • other: Monitor ClearML Enterprise Server logs for unusual activity, specifically related to dataset uploads and user sessions. Look for unexpected JavaScript execution or redirection attempts.

1. 2025-02-06Disclosure

   disclosure

1. आरक्षित2024-11-13
2. प्रकाशित2025-02-06
3. संशोधित2025-02-12
4. EPSS अद्यतन2026-04-02

CVE-2024-39272 को कम करने के लिए, ClearML Enterprise Server को तुरंत संस्करण 3.22.6 में अपडेट करना महत्वपूर्ण है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके डेटासेट अपलोड कार्यक्षमता के लिए इनपुट को फ़िल्टर किया जा सकता है ताकि दुर्भावनापूर्ण स्क्रिप्ट को रोका जा सके। इसके अतिरिक्त, ClearML Enterprise Server के लिए सख्त इनपुट सत्यापन और आउटपुट एन्कोडिंग लागू करना महत्वपूर्ण है ताकि XSS हमलों को रोका जा सके। सुनिश्चित करें कि सभी उपयोगकर्ता इनपुट को ठीक से मान्य और सैनिटाइज किया गया है, और सभी आउटपुट को HTML एन्कोडिंग के साथ एन्कोड किया गया है।