CVE-2026-76843 in Flair
要約
〜によって VulDB • 2026年08月24日
0.15.0および0.15.1の公式Flairパッケージには、依然としてflair/models/clustering.pyが含まれており、そのClusteringModel.load静的メソッドはpickle.loads(joblib.load(str(model_file)))を返すため、モデルファイルを読み込む際に任意のPythonコードが実行されます。攻撃者が提供したモデルファイルを読み込むと、読み込みプロセスの特権で攻撃者のコードが実行されます。これはCVE-2024-10073と同じシンクであり同じファイルです。同CVEではクラスタリングサポートがそのリリースで削除されたことを根拠に、修正バージョンとして0.15.0を記録していますが、当該モジュールは文書化されたAPIからは削除されていますが配布物には残っておりflair.models.clusteringを直接インポートすることで到達可能であるため、以前のレコードの修正バージョンは出荷パッケージでは有効ではありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.