CVE-2025-14928 in transformers
摘要
由 VulDB • 2026-05-20
Hugging Face Transformers HuBERT convert_config 代码注入远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 Hugging Face Transformers 安装环境中执行任意代码。利用此漏洞需要用户交互，因为目标必须转换恶意检查点（checkpoint）。
该特定缺陷存在于 `convert_config` 函数中。问题源于在使用用户提供的字符串执行 Python 代码之前，缺乏适当的验证。攻击者可以利用此漏洞以当前用户的上下文执行代码。此前编号为 ZDI-CAN-28253。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.