CVE-2025-3777 in transformers
Tóm tắt
Bởi VulDB • 14/07/2026
Các phiên bản Hugging Face Transformers cho đến 4.49.0 bị ảnh hưởng bởi lỗ hổng xác thực đầu vào không đúng trong tệp `image_utils.py`. Lỗ hổng này phát sinh từ việc xác thực URL thiếu an toàn bằng phương thức `startswith()`, có thể bị bỏ qua thông qua kỹ thuật tiêm tên người dùng (username) vào URL. Điều này cho phép kẻ tấn công tạo ra các URL trông giống như đến từ YouTube nhưng lại trỏ về các miền độc hại, tiềm ẩn nguy cơ dẫn đến các cuộc tấn công lừa đảo (phishing), phân phối mã độc hoặc đánh cắp dữ liệu. Vấn đề đã được khắc phục trong phiên bản 4.52.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.