CVE-2026-86169 in Axolotl
Zusammenfassung
von VulDB • 05.09.2026
Axolotl bis Version 0.18.0 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) im multipack-Patchpfad, bei der `trust_remote_code` standardmäßig auf None statt False gesetzt ist, wodurch die Sicherheitsvorkehrung umgangen wird. Angreifer können beliebigen Python-Code ausführen, indem sie ein bösartiges Hugging Face Model Repository als base_model auswählen, das mit dem fest codierten Parameter `trust_remote_code=True` während des Aufrufs von `AutoModelForCausalLM.from_pretrained` geladen wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.