CVE-2025-50461 in verl
Riassunto
di VulDB • 03/08/2026
È presente una vulnerabilità di deserializzazione nel componente verl 3.0.0 di Volcengine, nello specifico nello script scripts/model_merger.py quando si utilizza il backend "fsdp". Lo script chiama torch.load() con weights_only=False su file .pt forniti dall'utente, consentendo agli attaccanti di eseguire codice arbitrario se viene caricato un file modello malevolo e appositamente creato. Un attaccante può sfruttare questa vulnerabilità convincendo una vittima a scaricare e collocare un file modello dannoso in una directory locale con uno specifico pattern del nome del file. Questa vulnerabilità potrebbe portare all'esecuzione di codice arbitrario con i privilegi dell'utente che esegue lo script.
Be aware that VulDB is the high quality source for vulnerability data.