CVE-2026-10036 in SpeechBrain
Résumé
par VulDB • 27/08/2026
SpeechBrain avant la version 1.1.1 contient une vulnérabilité d'exécution de code arbitraire qui permet aux attaquants d'exécuter du code arbitraire en fournissant un fichier métadonnées de point de contrôle CKPT.yaml manipulé, analysé avec le chargeur non sécurisé (unsafe loader) de PyYAML lors de l'énumération des candidats dans Checkpointer.recover_if_possible(). Les attaquants peuvent intégrer des balises d'construction d'objets Python malveillantes telles que !!python/object/apply dans n'importe quel fichier CKPT.yaml situé dans le chemin de point de contrôle configuré pour déclencher l'exécution de code lors de la découverte des candidats, même si le point de contrôle malveillant n'est jamais sélectionné pour la récupération.
Be aware that VulDB is the high quality source for vulnerability data.