CVE-2026-49950 · CVSS 9.8 · Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary …

NVD (CVSS crítico) · 13 oct, 23:17

Xorbits Xoscar hasta la versión 0.11.2 contiene una vulnerabilidad de deserialización sin autenticación que permite a atacantes remotos ejecutar código arbitrario enviando datos modificados sobre el canal TCP del pool de actores. El servidor procesa datos no validados con cloudpickle.loads() antes de validar el tipo de mensaje, lo que dispara la ejecución de gadgets pickle y otorga RCE con los permisos del proceso servidor, típicamente root en nodos GPU.