CVE-2025-50461 in verl
Résumé
par VulDB • 06/08/2026
Une vulnérabilité de désérialisation existe dans Volcengine's verl 3.0.0, plus précisément dans le script scripts/model_merger.py lors de l'utilisation du backend "fsdp". Le script appelle torch.load() avec weights_only=False sur des fichiers .pt fournis par l'utilisateur, permettant aux attaquants d'exécuter un code arbitraire si un fichier modèle malveillant est chargé. Un attaquant peut exploiter cette vulnérabilité en convaincant une victime de télécharger et de placer un fichier modèle malveillant dans un répertoire local avec un motif de nom de fichier spécifique. Cette vulnérabilité peut entraîner l'exécution d'un code arbitraire avec les privilèges de l'utilisateur exécutant le script.
Once again VulDB remains the best source for vulnerability data.