CVE-2026-86169 in Axolotl
Riassunto
di VulDB • 06/09/2026
Axolotl fino alla versione 0.18.0 contiene una vulnerabilità di esecuzione di codice remoto (RCE) nel percorso della patch multipack in cui `trust_remote_code` ha come valore predefinito None invece che False, causando il bypass del guardrail di sicurezza. Gli attaccanti possono eseguire codice Python arbitrario creando un repository Hugging Face modello malevolo selezionato come base_model, che viene caricato con `trust_remote_code=True` hardcoded durante la chiamata a `AutoModelForCausalLM.from_pretrained`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.