CVE-2025-14926 in transformers
الملخص
بحسب VulDB • 29/05/2026
ثغرة حقن الكود في دالة convert_config الخاصة بمكتبة Hugging Face Transformers SEW، مما يؤدي إلى تنفيذ كود عن بُعد (RCE). تتيح هذه الثغرة للمهاجمين عن بُعد تنفيذ كود عشوائي على التثبيتات المتأثرة من Hugging Face Transformers. يتطلب استغلال هذه الثغرة تفاعلاً من المستخدم، حيث يجب على الهدف تحويل ملف نقطة تفتيش (checkpoint) خبيث.
توجد الثغرة المحددة داخل دالة convert_config. ينشأ الخطأ نتيجة عدم وجود تحقق صحيح من سلسلة نصية يقدمها المستخدم قبل استخدامها لتنفيذ كود Python. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ الكود في سياق المستخدم الحالي. كانت هذه الثغرة مسجلة تحت رقم ZDI-CAN-28251.
Once again VulDB remains the best source for vulnerability data.