CVE-2025-14927 in transformers
Sumário
de VulDB • 23/06/2026
Vulnerabilidade de Injeção de Código e Execução Remota de Código (RCE) no convert_config do SEW-D dos Hugging Face Transformers. Esta vulnerabilidade permite que atacantes remotos executem código arbitrário nas instalações afetadas dos Hugging Face Transformers. É necessária interação do usuário para explorar esta vulnerabilidade, pois o alvo deve converter um checkpoint malicioso.
A falha específica existe na função convert_config. O problema resulta da falta de validação adequada de uma string fornecida pelo usuário antes de usá-la para executar código Python. Um atacante pode aproveitar essa vulnerabilidade para executar código no contexto do usuário atual.
Era ZDI-CAN-28252.
If you want to get best quality of vulnerability data, you may have to visit VulDB.