Vulnerabilidad en uptrain de uptrain-ai (CVE-2025-27771)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-74
Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)
Fecha de publicación:
17/08/2026
Última modificación:
29/09/2026
Descripción
UpTrain es una plataforma de código abierto para evaluar y mejorar aplicaciones de IA generativa. En la versión 0.7.1 y anteriores, el endpoint '/add_prompts' es vulnerable a ejecución remota de código a través de los parámetros 'checks' y 'metadata'. Cualquier usuario que tenga acceso a UpTrain y un método de autenticación válido podría ejecutar código arbitrario en el contexto del host que ejecuta UpTrain, que en la mayoría de los casos será el contenedor de docker como sugiere la documentación. Al momento de la publicación, no hay un parche conocido disponible.