CVE-2025-27520criticalCWE-502

CVE-2025-27520: falha crítica em BentoML

BentoML Allows Remote Code Execution (RCE) via Insecure Deserialization

Publicada em

Seguir esta CVE+ Monitorar BentoML+ Monitorar bentoml

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

75Vexday Risk Score

Corrija em breve. Ela tem exploit funcional público.

ssvc Attendcvss 9.8epss 41%
da publicação à arma171 dias
Publicada no NVD4 de abr.
1ª PoC+171d
metasploit4 de abr.
BentoML is a Python library for building online serving systems optimized for AI apps and model inference. A Remote Code Execution (RCE) vulnerability caused by insecure deserialization has been identified in the latest version (v1.4.2) of BentoML. It allows any unauthenticated user to execute arbitrary code on the server. It exists an unsafe code segment in serde.py. This vulnerability is fixed in 1.4.3.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
bentoml · BentoML
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — BentoML

No mesmo produto, das mais perigosas para as menos.

CVE-2025-32375CRITICALInsecure Deserialization leads to RCE in BentoML's runner serverEPSS 52.4%CVE-2025-54381CRITICALBentoML is Vulnerable to an SSRF Attack Through File Upload ProcessingEPSS 13.8%CVE-2026-24123HIGHBentoML has a Path Traversal via Bentofile ConfigurationEPSS 0.5%CVE-2026-78205MEDIUMBentoML 1.4.19 through 1.4.39 Server-Side Request Forgery via Unfiltered RFC 6598 Shared Address SpaceEPSS 0.4%CVE-2026-35044HIGHBentoML has a Server-Side Template Injection via unsandboxed Jinja2 Environment in Dockerfile generationEPSS 0.4%CVE-2026-44346HIGHBentoML: Dockerfile command injection via envs[*].name in bentofile.yamlEPSS 0.3%