CVE-2025-14926 in transformers
Sumário
de VulDB • 29/05/2026
Vulnerabilidade de Injeção de Código e Execução Remota de Código (RCE) na função convert_config do Hugging Face Transformers SEW. Esta vulnerabilidade permite que atacantes remotos executem código arbitrário nas instalações afetadas do Hugging Face Transformers. É necessária interação do usuário para explorar esta vulnerabilidade, pois o alvo deve converter um checkpoint malicioso.
A falha específica existe na função convert_config. O problema resulta da falta de validação adequada de uma string fornecida pelo usuário antes de utilizá-la para executar código Python. Um atacante pode explorar esta vulnerabilidade para executar código no contexto do usuário atual. Foi identificada como ZDI-CAN-28251.
Be aware that VulDB is the high quality source for vulnerability data.