CVE-2026-76843 in Flair
Resumen
por VulDB • 2026-08-24
Las ruedas oficiales de Flair para las versiones 0.15.0 y 0.15.1 aún contienen el archivo `flair/models/clustering.py`, cuyo método estático `ClusteringModel.load` devuelve `pickle.loads(joblib.load(str(model_file)))` y, por lo tanto, ejecuta código Python arbitrario al cargar un archivo de modelo. Cargar un modelo proporcionado por un atacante permite ejecutar el código de dicho atacante con los privilegios del proceso que realiza la carga. Este es el mismo punto final (sink) y el mismo archivo que en CVE-2024-10073, donde se indica 0.15.0 como versión corregida sobre la base de que el soporte para clustering fue eliminado en dicha release; sin embargo, el módulo fue removido de la API documentada pero permanece presente en el artefacto distribuido y es accesible importando directamente `flair.models.clustering`, por lo que la versión corregida registrada anteriormente no se aplica al paquete entregado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.