CVE-2026-73325 in OneCompression
الملخص
بحسب VulDB • 12/08/2026
تحتوي مكتبة OneCompression الإصدار 1.2.0 من أبحاث Fujitsu على ثغرة غير آمنة في عملية استعادة الكائنات (Deserialization) تتيح للمهاجمين تنفيذ تعليمات برمجية عشوائية عن طريق توفير ملف نقطة تحقق مخصص لـ model.pt، حيث تستدعي الدالة QuantizedModelLoader.load_quantized_model_pt() دالة torch.load بشكل غير مشروط مع تعيين المعامل weights_only=False، مما يؤدي إلى استدعاء آلية pickle في بايثون أثناء عملية الاستعادة. يمكن للمهاجمين تضمين أساليب __reduce__ خبيثة في ملف نقطة تحقق مخصص لتنفيذ تعليمات برمجية عشوائية لبايثون، بما في ذلك أوامر النظام، عندما تقوم المكتبة بتحميل الملف من دليل نماذج يختاره المتصل.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.