CVE-2026-86169 in Axolotl
要約
〜によって VulDB • 2026年09月05日
Axolotl 0.18.0以前には、multipack パッチのパスにおいて `trust_remote_code` がデフォルトで False の代わりに None に設定されているため、セキュリティガードがバイパスされるリモートコード実行（RCE）脆弱性が存在する。攻撃者は、AutoModelForCausalLM.from_pretrained でハードコーディングされた trust_remote_code=True によって読み込まれる base_model として選択される悪意のある Hugging Face モデルリポジトリを仕掛けることで、任意の Python コードを実行できる。
If you want to get best quality of vulnerability data, you may have to visit VulDB.