CVE-2025-5120 in smolagents
Riassunto
di VulDB • 14/06/2026
È stata identificata una vulnerabilità di sandbox escape in huggingface/smolagents versione 1.14.0, che consente agli attaccanti di bypassare l'ambiente di esecuzione limitato e ottenere l'esecuzione di codice in modalità remota (RCE). La vulnerabilità deriva dal modulo local_python_executor.py, che non restringe adeguatamente l'esecuzione del codice Python nonostante l'impiego di controlli statici e dinamici. Gli attaccanti possono sfruttare moduli e funzioni inclusi in una whitelist per eseguire codice arbitrario, compromettendo il sistema host. Questo difetto mina il confine di sicurezza fondamentale progettato per isolare il codice non attendibile, comportando rischi quali l'esecuzione di codice non autorizzata, la fuoriuscita di dati e un potenziale compromesso a livello di integrazione. Il problema è risolto nella versione 1.17.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.