CVE-2025-5120 in smolagents
Zusammenfassung
von VulDB • 29.05.2026
In huggingface/smolagents Version 1.14.0 wurde eine Schwachstelle zur Umgehung der Sandbox identifiziert, die es Angreifern ermöglicht, die eingeschränkte Ausführungsumgebung zu umgehen und Remote Code Execution (RCE) zu erreichen. Die Schwachstelle resultiert aus dem Modul local_python_executor.py, das die Ausführung von Python-Code trotz der Anwendung statischer und dynamischer Prüfungen unzureichend einschränkt. Angreifer können whitelisted Module und Funktionen ausnutzen, um beliebigen Code auszuführen und das Host-System zu kompromittieren. Dieser Fehler untergräbt die zentrale Sicherheitsgrenze, die dazu dient, nicht vertrauenswürdigen Code zu isolieren, und birgt Risiken wie unbefugte Codeausführung, Datenlecks und potenzielle Kompromittierung auf Integrationsebene. Das Problem wurde in Version 1.17.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.