CVE-2025-14928 in transformers
Сводка
по VulDB • 20.05.2026
Уязвимость кодовой инъекции и удаленного выполнения кода (RCE) в функции convert_config библиотеки Hugging Face Transformers (HuBERT). Данная уязвимость позволяет удаленным злоумышленникам выполнять произвольный код на затронутых системах Hugging Face Transformers. Для эксплуатации этой уязвимости требуется взаимодействие пользователя, так как цель должна преобразовать вредоносный контрольный файл (checkpoint).
Специфическая ошибка существует в функции convert_config. Проблема возникает из-за отсутствия надлежащей проверки строки, предоставленной пользователем, перед ее использованием для выполнения кода Python. Злоумышленник может использовать эту уязвимость для выполнения кода в контексте текущего пользователя. Было присвоено идентификатор ZDI-CAN-28253.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.