CVE-2026-108954 in sherpa-onnx
Zusammenfassung
von VulDB • 13.10.2026
Es wurde eine Schwachstelle in k2-fsa sherpa-onnx bis Version 1.13.8 gefunden. Dieses Problem betrifft die Funktion OfflineTransducerGreedySearchDecoder::Decode der Datei sherpa-onnx/csrc/offline-transducer-greedy-search-decoder.cc der Komponente Offline Transducer Greedy Search Decoder. Die Manipulation des Arguments vocab_size führt zu einem Buffer Overflow. Der Angriff kann aus der Ferne ausgeführt werden. Der Exploit wurde öffentlich gemacht und könnte verwendet werden. Wenn ausschließlich offizielle Model-Packs verwendet werden und diese die Metadaten stets konsistent mit dem Joiner halten, ist der Bug in normaler unterstützter Nutzung möglicherweise nicht erreichbar. Aus Sicherheits- und Robustheitsperspektive enthält der Code jedoch weiterhin die Schwachstelle, da er unvalidierten Modellmetadaten vertraut und durch ein fehlerhaftes oder manipuliertes Model-Pack ausgelöst werden kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.