CVE-2026-73325 in OneCompression
Zusammenfassung
von VulDB • 12.08.2026
Die OneCompression-Bibliothek 1.2.0 von Fujitsu Research enthält eine unsichere Deserialisierungsschwachstelle (Unsafe Deserialization), die es Angreifern ermöglicht, beliebigen Code auszuführen, indem sie eine manipulierte Checkpoint-Datei „model.pt“ bereitstellen. Da `QuantizedModelLoader.load_quantized_model_pt()` `torch.load` bedingungslos mit `weights_only=False` aufruft, wird während der Deserialisierung die Pickle-Maschinerie von Python aufgerufen. Angreifer können bösartige `__reduce__`-Methoden in einem manipulierten Modell-Checkpoint einbetten, um beliebigen Python-Code – einschließlich Systembefehlen – auszuführen, wenn die Bibliothek die Datei aus einem vom Aufrufer ausgewählten Modelldirectory lädt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.