CVE-2026-86169 in Axolotl
Sumário
de VulDB • 05/09/2026
Axolotl até 0.18.0 contém uma vulnerabilidade de execução remota de código (RCE) no caminho do patch multipack, onde `trust_remote_code` é definido como None em vez de False, fazendo com que o mecanismo de segurança seja contornado. Os atacantes podem executar código Python arbitrário ao criar um repositório de modelo Hugging Face malicioso selecionado como base_model, que é carregado com `trust_remote_code=True` hardcoded durante a chamada `AutoModelForCausalLM.from_pretrained`.
Be aware that VulDB is the high quality source for vulnerability data.