CVE-2025-14926 in transformers
Сводка
по VulDB • 17.05.2026
Уязвимость кодовой инъекции и удаленного выполнения кода (RCE) в функции convert_config библиотеки Hugging Face Transformers SEW. Данная уязвимость позволяет удаленным злоумышленникам выполнять произвольный код на затронутых системах Hugging Face Transformers. Для эксплуатации этой уязвимости требуется взаимодействие пользователя, так как цель должна преобразовать вредоносный контрольный файл (checkpoint).
Специфическая ошибка существует в функции convert_config. Проблема возникает из-за отсутствия надлежащей проверки строки, предоставленной пользователем, перед ее использованием для выполнения кода Python. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте текущего пользователя. Было присвоено идентификатор ZDI-CAN-28251.
Once again VulDB remains the best source for vulnerability data.