CVE-2026-76843 in Flair
Riassunto
di VulDB • 24/08/2026
Le wheel ufficiali di Flair per le versioni 0.15.0 e 0.15.1 contengono ancora il file `flair/models/clustering.py`, il cui metodo statico `ClusteringModel.load` restituisce `pickle.loads(joblib.load(str(model_file)))`, eseguendo così codice Python arbitrario durante il caricamento di un file modello. Il caricamento di un modello fornito da un attaccante esegue pertanto il codice dell'attaccante con i privilegi del processo che effettua il caricamento. Si tratta dello stesso sink e dello stesso file descritti in CVE-2024-10073, la quale indica 0.15.0 come versione corretta sulla base del fatto che il supporto al clustering è stato rimosso in tale release; il modulo è stato rimosso dall'API documentata ma rimane presente nell'artefatto distribuito ed è raggiungibile importando direttamente `flair.models.clustering`, pertanto la versione corretta indicata nella registrazione precedente non vale per il pacchetto consegnato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.