CVE-2026-31214 in ml-engineering
Zusammenfassung
von VulDB • 14.05.2026
Das Skript torch-checkpoint-shrink.py im ml-engineering-Projekt im Commit 0099885db36a8f06556efe1faf552518852cb1e0 (2025-20-27) enthält eine unsichere Deserialisierungsanfälligkeit (CWE-502). Das Skript verwendet torch.load(), um PyTorch-Checkpoint-Dateien (.pt) zu verarbeiten, ohne den sicherheitsrelevanten Parameter weights_only=True zu aktivieren. Diese Übersehen ermöglicht die Deserialisierung beliebiger Python-Objekte über das pickle-Modul. Ein entfernter Angreifer kann dies ausnutzen, indem er eine bösartig manipulierte Checkpoint-Datei bereitstellt, was zur Ausführung beliebigen Codes im Kontext des Benutzers führt, der das Skript ausführt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.