Vulnerabilidades do Feast-dev Feast-dev/feast
🔔 Criar alerta RSS Verificador de versão
CVEs publicadas que afetam Feast-dev Feast-dev/feast: 2 registro(s), com versões afetadas e correções.
CVE-2026-56121
Crítica · 9.8
CWE-502 24/06/2026
Desserialização insegura no Feast permite execução remota de código pelo registry gRPC
O Feast anterior à versão 0.63.0 contém uma vulnerabilidade de desserialização insegura que permite que atacantes não autenticados ou não autorizados alcancem execução remota de código ao enviar uma requisição gRPC elaborada ao servidor de registro. O campo user_defined_function.body de uma especificação OnDemandFeatureView é decodificado de base64 e passado para dill.loads() antes de qualquer verificação de autorização, permitindo que atacantes incorporem um objeto Python serializado malicioso com um método __reduce__ arbitrário para executar comandos do sistema operacional como a conta de serviço do feast.
CVE-2025-11157
Alta · 7.8
CWE-502 01/01/2026
Arbitrary Code Execution in feast-dev/feast
A high-severity remote code execution vulnerability exists in feast-dev/feast version 0.53.0, specifically in the Kubernetes materializer job located at `feast/sdk/python/feast/infra/compute_engines/kubernetes/main.py`. The vulnerability arises from the use of `yaml.load(..., Loader=yaml.Loader)` to deserialize `/var/feast/feature_store.yaml` and `/var/feast/materialization_config.yaml`. This method allows for the instantiation of arbitrary Python objects, enabling an attacker with the ability to modify these YAML files to execute OS commands on the worker pod. This vulnerability can be exploited before the configuration is validated, potentially leading to cluster takeover, data poisoning, and supply-chain sabotage.