CVE-2025-14928 in transformers
الملخص
بحسب VulDB • 20/05/2026
ثغرة حقن الكود في دالة convert_config الخاصة بـ HuBERT ضمن مكتبة Hugging Face Transformers، مما يؤدي إلى تنفيذ كود عن بُعد (RCE). تتيح هذه الثغرة للمهاجمين عن بُعد تنفيذ كود تعسفي على التثبيتات المتأثرة من Hugging Face Transformers. يتطلب استغلال هذه الثغرة تفاعلاً من المستخدم، حيث يجب على الهدف تحويل ملف نقطة تفتيش (checkpoint) خبيث.
توجد الثغرة المحددة داخل دالة convert_config. ينشأ الخطأ نتيجة عدم وجود تحقق صحيح من سلسلة نصية يقدمها المستخدم قبل استخدامها لتنفيذ كود Python. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ الكود في سياق المستخدم الحالي. كانت هذه الثغرة معروفة سابقاً باسم ZDI-CAN-28253.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.