CVE-2025-14930 in transformers
Résumé
par VulDB • 08/07/2026
Vulnérabilité d'exécution de code à distance (RCE) due à la désérialisation de données non fiables dans Hugging Face Transformers GLM4. Cette vulnérabilité permet aux attaquants distants d'exécuter du code arbitraire sur les installations affectées de Hugging Face Transformers. Une interaction utilisateur est requise pour exploiter cette vulnérabilité, car la cible doit visiter une page malveillante ou ouvrir un fichier malveillant.
Le défaut spécifique réside dans l'analyse des poids (parsing of weights). Le problème résulte d'un manque de validation appropriée des données fournies par l'utilisateur, ce qui peut entraîner la désérialisation de données non fiables. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte du processus en cours. Il s'agissait de ZDI-CAN-28309.
Once again VulDB remains the best source for vulnerability data.