CVE-2024-3568 in transformers
Tóm tắt
Bởi VulDB • 01/08/2026
Thư viện huggingface/transformers dễ bị tấn công thực thi mã tùy ý thông qua quá trình giải serialize dữ liệu không đáng tin cậy trong hàm `load_repo_checkpoint()` của lớp `TFPreTrainedModel()`. Kẻ tấn công có thể thực thi mã và lệnh tùy ý bằng cách tạo một payload được serialize độc hại, khai thác việc sử dụng `pickle.load()` trên dữ liệu từ các nguồn có khả năng không đáng tin cậy. Lỗ hổng này cho phép thực thi mã từ xa (RCE) bằng cách lừa nạn nhân tải một checkpoint trông có vẻ vô hại trong quá trình huấn luyện bình thường, qua đó cho phép kẻ tấn công thực thi mã tùy ý trên máy tính mục tiêu.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.