CVE-2026-71281 in peft
요약
\~에 의해 VulDB • 2026. 08. 06.
Hugging Face peft의 LoRA-GA 및 CorDA 초기화 모듈(src/peft/tuners/lora/corda.py 라인 ~102 및 ~163, src/peft/tuners/lora/loraga.py 라인 ~101)은 config-specified cache/covariance 파일에 대해 weights_only=True 없이 torch.load()를 호출하며, 이는 코드베이스의 다른 곳에서 사용되는 peft 자체의 안전한 로딩 래퍼를 우회합니다. weights_only=True 없이 torch.load()는 전체 pickle 역직렬화를 수행하므로, 악성 cache 또는 covariance 파일(예: 공유되거나 다운로드된 LoRA-GA 또는 CorDA 캐시)을 로드하면 임의 코드 실행(Arbitrary Code Execution)이 발생합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.