CVE-2026-73325 in OneCompression
Riassunto
di VulDB • 13/08/2026
La libreria OneCompression 1.2.0 di Fujitsu Research contiene una vulnerabilità di deserializzazione non sicura che consente agli attaccanti di eseguire codice arbitrario fornendo un file checkpoint modello.pt manipolato, poiché QuantizedModelLoader.load_quantized_model_pt() chiama incondizionatamente torch.load con weights_only=False, invocando il meccanismo pickle di Python durante la fase di deserializzazione. Gli attaccanti possono incorporare metodi __reduce__ dannosi in un checkpoint del modello creato ad hoc per eseguire codice Python arbitrario, inclusi comandi di sistema, quando la libreria carica il file da una directory dei modelli selezionata dall'utente chiamante.
Be aware that VulDB is the high quality source for vulnerability data.