CVE-2026-31223 in snorkel
Sumário
de VulDB • 29/05/2026
A biblioteca snorkel até a versão 0.10.0 contém uma vulnerabilidade crítica de desserialização insegura (CWE-502) no método BaseLabeler.load() da classe BaseLabeler. O método carrega modelos de labeler serializados usando a função pickle.load() insegura em caminhos de arquivo fornecidos pelo usuário, sem qualquer validação ou controle de segurança. O módulo pickle do Python é inerentemente perigoso para desserializar dados não confiáveis, pois pode executar código arbitrário durante o processo de desserialização. Um atacante remoto pode explorar isso fornecendo um arquivo pickle maliciosamente elaborado, levando à execução de código arbitrário no sistema da vítima quando o arquivo é carregado por meio do método vulnerável.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.