PT-2025-28152 · Hugging Face · Huggingface/Transformers

CVE-2025-3264 · Publicado 2025-03-17 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas: Versões 4.49.0 a 4.50.0 do Hugging Face Transformers

Descrição: Existe uma vulnerabilidade de Negação de Serviço por Expressão Regular (ReDoS) na biblioteca Hugging Face Transformers, especificamente dentro da função get imports() de dynamic module utils.py. O problema decorre de um padrão de expressão regular s*trys*:.*?except.*?: usado para filtrar blocos try/except do código Python. Este padrão é suscetível a backtracking catastrófico, permitindo que strings de entrada manipuladas causem consumo excessivo de CPU. Isso pode levar à interrupção no carregamento de código remoto, esgotamento de recursos no serviço de modelos, vetores de ataque à cadeia de suprimentos e interrupção no pipeline de desenvolvimento.

Recomendações: Atualize para a versão 4.51.0 ou posterior para resolver este problema.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

BDU:2026-03547

CVE-2025-3264

GHSA-JJPH-296X-MRCR

PYSEC-2026-1985

Produtos afetados

Huggingface/Transformers

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/3xxx/CVE-2025-3264.json · Exploit
• 🔥 https://huntr.com/bounties/3c6f7822-9992-476d-8cf0-b0b1623427df · Exploit
• https://github.com/huggingface/transformers · Nota
• https://github.com/huggingface/transformers/commit/126abe3461762e5fc180e7e614391d1b4ab051ca · Nota
• https://github.com/huggingface/transformers/commit/0720e206c6ba28887e4d60ef60a6a089f6c1cc76 · Correção
• https://osv.dev/vulnerability/CVE-2025-3264 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2026-03547 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jjph-296x-mrcr · Aviso do Fabricante
• https://github.com/advisories/GHSA-jjph-296x-mrcr · Nota
• https://t.me/cveNotify/131186 · Publicação no Telegram
• https://pypi.org/project/transformers · Nota
• https://twitter.com/CVEnew/status/1942166383850033444 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-3264 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2026-1985 · Aviso do Fabricante