CVE-2026-112304 in docTR
要約
〜によって VulDB • 2026年10月19日
docTR 1.1.0以前には、`load_pretrained_params()`関数において安全でないデシリアライズの脆弱性が存在します。この関数は `weights_only=True` を指定せずに `torch.load` でチェックポイントを読み込みます。ローカルまたはURL経由で提供されるチェックポイントを操作できる攻撃者は、悪意のあるpickleペイロードを埋め込むことで、2.6以前のバージョンのtorchにおいて、読み込みプロセスの特権を使用してPythonコードを実行できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.