PT-2025-30998 · Hugging Face · Smolagents

Albertvillanova · Publicado 2025-07-27 · Atualizado 2025-08-07 · CVE-2025-5120

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas huggingface/smolagents versões anteriores a 1.17.0

Descrição Um escape de sandbox permite que invasores contornem o ambiente de execução restrito e obtenham execução remota de código (RCE). O problema reside no módulo local python executor.py, que restringe inadequadamente a execução de código Python, apesar de empregar verificações estáticas e dinâmicas. Invasores podem explorar módulos e funções na lista de permissões para executar código arbitrário, potencialmente comprometendo o sistema hospedeiro. Esta falha compromete o limite de segurança destinado a isolar código não confiável, apresentando riscos como execução de código não autorizada e vazamento de dados.

Recomendações Atualize para a versão 1.17.0 ou posterior.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-5120

GHSA-6V92-R5MX-H5FX

Produtos afetados

Smolagents

Referências · 12

• 🔥 https://huntr.com/bounties/63ab1cfe-b573-4cf5-a7d3-fb6c957e34b0 · Exploit
• https://github.com/huggingface/smolagents · Nota
• https://github.com/huggingface/smolagents/commit/33a942e62b6fbf6a35d41f1c735bda2d64c163d0 · Correção
• https://twitter.com/gothburz/status/1949582203404558515 · Publicação no Twitter
• https://twitter.com/fernandokarl/status/1949523905590317224 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-5120 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1949389456634507745 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1949384280725205214 · Publicação no Twitter
• https://twitter.com/UjlakiMarci/status/1953347386723455264 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-5120 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6v92-r5mx-h5fx · Aviso do Fabricante
• https://t.me/cveNotify/131182 · Publicação no Telegram