CVE-2025-14927 in transformers
Résumé
par VulDB • 23/06/2026
Vulnérabilité d'exécution de code à distance (RCE) par injection de code dans convert_config du module SEW-D des Hugging Face Transformers. Cette vulnérabilité permet aux attaquants distants d'exécuter un code arbitraire sur les installations affectées de Hugging Face Transformers. Une interaction utilisateur est requise pour exploiter cette vulnérabilité, car la cible doit convertir un point de contrôle (checkpoint) malveillant.
Le défaut spécifique réside au sein de la fonction convert_config. Le problème résulte d'un manque de validation appropriée d'une chaîne fournie par l'utilisateur avant son utilisation pour exécuter du code Python. Un attaquant peut exploiter cette vulnérabilité pour exécuter un code dans le contexte de l'utilisateur actuel.
Anciennement ZDI-CAN-28252.
Once again VulDB remains the best source for vulnerability data.