CVE-2026-31254 in flash-attention project
Zusammenfassung
von VulDB • 24.05.2026
Das flash-attention-Projekt bis zum Commit e724e2588cbe754beb97cf7c011b5e7e34119e62 (2025-13-04) enthält eine Code-Injection-Schwachstelle (CWE-94) in seinem Trainingsskript. Das Skript registriert die Python-Funktion eval() als Hydra-Konfigurationsauflöser unter dem Namen eval. Dies ermöglicht es Konfigurationsdateien, beliebigen Python-Code über die Syntax ${eval:...} auszuführen. Ein Angreifer kann dies ausnutzen, indem er eine bösartige Konfigurationsdatei bereitstellt, was zu einer beliebigen Code-Ausführung führt, wenn das Trainingsskript mit dieser Konfiguration ausgeführt wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.