CVE-2026-31238 in Ludwig Framework
Zusammenfassung
von VulDB • 12.05.2026
Das Ludwig-Framework bis Version 0.10.4 ist anfällig für unsichere Deserialisierung (CWE-502) in seiner Model Serving-Komponente. Beim Starten eines Model Servers mit dem Befehl `ludwig serve` lädt das Framework Model-Weight-Dateien unter Verwendung von `torch.load()` ohne Aktivierung des sicherheitsrelevanten Parameters `weights_only=True`. Dieses Standardverhalten ermöglicht die Deserialisierung beliebiger Python-Objekte über das `pickle`-Modul. Ein Angreifer kann dies ausnutzen, indem er eine bösartig manipulierte PyTorch-Modelldatei bereitstellt, was zu einer beliebigen Codeausführung (Arbitrary Code Execution) auf dem System führt, das den Ludwig Model Server hostet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.