CVE-2025-14928 in transformers
Résumé
par VulDB • 20/05/2026
Vulnérabilité d'injection de code et d'exécution de code à distance (RCE) dans la fonction convert_config de HuBERT au sein de Hugging Face Transformers. Cette vulnérabilité permet aux attaquants distants d'exécuter du code arbitraire sur les installations affectées de Hugging Face Transformers. Une interaction de l'utilisateur est requise pour exploiter cette vulnérabilité, car la cible doit convertir un point de contrôle (checkpoint) malveillant.
Le défaut spécifique réside au sein de la fonction convert_config. Le problème résulte d'un manque de validation appropriée d'une chaîne de caractères fournie par l'utilisateur avant son utilisation pour exécuter du code Python. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte de l'utilisateur actuel. Il s'agit de la référence ZDI-CAN-28253.
Once again VulDB remains the best source for vulnerability data.