Vulnérabilité dans backpropagate (CVE-2026-48797)
Résumé
Vulnérabilité dans backpropagate (CVE-2026-48797). Risque d'opérations non autorisées ou de divulgation. Exploitable via BACKPROPAGATE_UI_AUTH. Atténuation : mise à jour vers 1.2.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
In backpropagate >= 1.1.0, the optional Reflex web UI (pip install backpropagate[ui], launched via backprop ui) exposes a training control plane: dataset upload, model load, training start/stop, multi-run orchestration, GGUF export, and HuggingFace Hub push.
The CLI accepts two operator-facing flags intended as security controls:
--auth user:pass— documented as "require HTTP Basic authentication on every request to the UI."--share— documented as "expose the UI on a public address; requires--auth."
When --auth user:pass is passed, the CLI prints Auth: enabled (user: ) to confirm to the operator that authentication is active, then exports BACKPROPAGATE_UI_AUTH=user:pass to the subprocess that launches the Reflex backend.
The Reflex backend (backpropagate/ui_app/**) never reads BACKPROPAGATE_UI_AUTH. No authentication middleware is registered. No request-level guard runs. No WebSocket upgrade guard runs. Any client that reaches the bound port — local or remote, depending on whether --share is used — has full UI access.
An inline comment at backpropagate/cli.py:1217-1218 in the v1.1.0 source documents the gap: "For Phase 1 the variable is exported but Reflex doesn't read it yet." This comment was internal-facing; the user-facing documentation (README, CHANGELOG, SHIP_GATE) advertised the contract as enforced.
This advisory is filed primarily because the runtime contradicted an operator-facing security claim. Code-only bugs…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-48797 a été découverte dans backpropagate.
Des attaquants peuvent cibler un point d'entrée spécifique comme BACKPROPAGATE_UI_AUTH à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour backpropagate vers 1.2.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « backpropagate CVE-2026-48797 » sur le site de l'éditeur.
CVE-2026-48797 (backpropagate) — CWE-1295
Surface d'attaque : BACKPROPAGATE_UI_AUTH / rx.upload / source_model_path / dataset_path
Correctif : 1.2.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-1295) affecte backpropagate. Les attaquants atteignent le code vulnérable via BACKPROPAGATE_UI_AUTH.
Consultez l'avis de l'éditeur pour les versions affectées de backpropagate. Surface d'attaque : BACKPROPAGATE_UI_AUTH / rx.upload / source_model_path / dataset_path.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.2.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'backpropagate' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
backpropagateを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade backpropagate to 1.2.0ステージング環境で 1.2.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- package pypi.org
- web github.com
- web github.com