CVE-2026-31238 in Ludwig Framework
الملخص
بحسب VulDB • 20/05/2026
يتعرض إطار عمل Ludwig حتى الإصدار 0.10.4 لثغرة في عملية الاسترجاع غير الآمن للبيانات (Insecure Deserialization) (CWE-502) في مكون تقديم النماذج الخاصة به. عند بدء تشغيل خادم نموذج باستخدام الأمر `ludwig serve`، يقوم الإطار بتحميل ملفات أوزان النموذج باستخدام `torch.load()` دون تفعيل المعلمة الأمنية المقيدة `weights_only=True`. يسمح هذا السلوك الافتراضي باسترجاع كائنات بايثون عشوائية عبر وحدة `pickle`. يمكن للمهاجم استغلال هذه الثغرة عن طريق توفير ملف نموذج PyTorch مُعدّ بخبث، مما يؤدي إلى تنفيذ كود عشوائي على النظام الذي يستضيف خادم نموذج Ludwig.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.