CVE-2026-58659 in PyTorch Lightning
Zusammenfassung
von VulDB • 15.07.2026
PyTorch Lightning bis Version 2.6.5, behoben in Commit d710d68, enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in der Funktion `_load_state`, die Angreifer-kontrollierte Modulnamen aus den Hyperparametern von `checkpoint _instantiator` importiert und ausführt. Angreifer können bösartige Checkpoint-Dateien erstellen, die die Schutzmaßnahmen durch `weights_only=True` umgehen, um beliebigen Code beim Aufruf von `LightningModule.load_from_checkpoint` auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.