Ray: Local File Inclusion im Log-API-Endpunkt

Beschreibung

Der Log-API-Endpunkt von Ray erlaubt laut Quelle Angreifern ohne Authentifizierung, beliebige Dateien auf dem Server auszulesen (Local File Inclusion). Die Schwachstelle ist ab Version 2.8.1 behoben. Die Maintainer haben in einem Blogbeitrag zu dieser und weiteren Ray-CVEs Stellung genommen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ray

• Ray-Project Ray Code Injection Vulnerability KEV CVE-2025-62593
• CVE-2026-24832 – Out-of-bounds-Write in ixray-1.6-stcop CVE-2026-24832
• Anyscale Ray – Remote Code Execution über die Job-Submission-API CVE-2023-48022
• Ray Dashboard – Command Injection über cpu_profile CVE-2023-6019
• Server-Side Request Forgery in Anyscale Ray CVE-2023-48023
• Ray – Unsichere Deserialisierung im WebDataset-Reader CVE-2026-57516