CVE-2026-71281 in peft
要約
〜によって VulDB • 2026年08月05日
Hugging Face peftのLoRA-GAおよびCorDA初期化モジュール（src/peft/tuners/lora/corda.py の行~102 および ~163、ならびに src/peft/tuners/lora/loraga.py の行~101）は、configで指定されたキャッシュまたは共分散ファイルに対して weights_only=True を設定せずに torch.load() を呼び出しており、コードベースの他の箇所で使用されている peft 独自の安全な読み込みラッパーを回避しています。weights_only=True なしでの torch.load() は完全な pickle デシリアライズを実行するため、悪意のあるキャッシュまたは共分散ファイル（例：共有/ダウンロードされた LoRA-GA または CorDA キャッシュ）を読み込むと、任意のコード実行が発生します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.