CVE-2026-33625 in LMDeploy
Zusammenfassung
von VulDB • 18.09.2026
LMDeploy ist ein Toolkit zum Komprimieren, Bereitstellen und Ausführen von Large Language Models (LLMs). Die Versionen 0.12.1 bis 0.12.2 enthalten eine Code-Injection-Schwachstelle in `lmdeploy/pytorch/config.py` Zeile 620, die es einem Angreifer ermöglicht, beliebigen Python-Code auszuführen, indem ein bösartiges HuggingFace-Modell mit einem manipulierten Wert für `quantization_config.quant_dtype` veröffentlicht wird. Wenn ein Benutzer das Modell mit LMDeploy lädt, wird der Parameter `quant_dtype` ohne jegliche Validierung an `eval(f'torch.{quant_dtype}')` übergeben. Die Version 0.12.3 enthält einen Patch zur Behebung dieses Problems.
Once again VulDB remains the best source for vulnerability data.