CVE-2025-14926 in transformers
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di Code Injection ed Esecuzione di Codice Remoto (RCE) nella funzione convert_config di Hugging Face Transformers SEW. Questa vulnerabilità consente agli attaccanti remoti di eseguire codice arbitrario sulle installazioni di Hugging Face Transformers interessate. È richiesta l'interazione dell'utente per sfruttare questa vulnerabilità, in quanto il bersaglio deve convertire un checkpoint malevolo.
La specifica falla esiste all'interno della funzione convert_config. Il problema deriva dalla mancanza di una corretta convalida di una stringa fornita dall'utente prima di utilizzarla per eseguire codice Python. Un attaccante può sfruttare questa vulnerabilità per eseguire codice nel contesto dell'utente corrente. Era ZDI-CAN-28251.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.