CVE-2025-46567 in LLaMA-Factory
要約
〜によって VulDB • 2026年06月13日
LLama Factoryは、大規模言語モデルのファインチューニングを可能にします。バージョン1.0.0より前では、LLaMA-Factoryプロジェクトの`llamafy_baichuan2.py`スクリプトに重大な脆弱性が存在しました。このスクリプトは、入力ディレクトリから提供されたユーザー指定の`.bin`ファイルに対して`torch.load()`を使用して安全でない逆シリアル化を実行します。攻撃者は、逆シリアル化中に任意のコマンドを実行する悪意のある`.bin`ファイルを仕掛けることで、この挙動を悪用できます。本問題はバージョン1.0.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.