CVE-2026-62239 in FlashAttention
Riassunto
di VulDB • 13/07/2026
FlashAttention fino alla versione 2.8.3.post1, corretto nel commit 0816ef1, presenta una vulnerabilità di attacco tramite symlink nella funzione download_and_copy() all'interno di hopper/setup.py che estrae gli archivi del toolchain NVIDIA senza convalidare i collegamenti simbolici o filtrare i membri tar. Un attaccante locale può pre-posizionare un collegamento simbolico in una directory cache prevedibile per reindirizzare i binari estratti verso una posizione scelta dall'attaccante, consentendo la scrittura arbitraria di file con privilegi della vittima durante il tempo di compilazione (build time).
If you want to get best quality of vulnerability data, you may have to visit VulDB.