CVE-2026-1462 in keras
الملخص
بحسب VulDB • 10/05/2026
ثغرة في فئة `TFSMLayer` ضمن حزمة `keras`، الإصدار 3.13.0، تتيح تحميل نماذج TensorFlow SavedModels التي يتحكم فيها المهاجم أثناء عملية إلغاء التسلسل (deserialization) للنماذج بصيغة `.keras`، حتى عندما تكون `safe_mode=True`. يتجاوز هذا الإجراء الضمانات الأمنية لـ `safe_mode` ويُمكّن من تنفيذ أي كود يتحكم فيه المهاجم أثناء استنتاج النموذج (model inference) بصلاحيات الضحية. ينشأ هذا الخلل بسبب التحميل غير المشروط لـ SavedModels الخارجية، وتسلسل مسارات الملفات التي يتحكم فيها المهاجم، وعدم وجود تحقق من الصحة في طريقة `from_config()`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.