PT-2025-42617 · Google+1 · Keras+1
CVE-2025-49655
·
Publicado
2025-10-17
·
Atualizado
2026-06-29
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Keras 3.11.0 a 3.11.2
Descrição
O framework Keras está suscetível a uma questão de segurança crítica decorrente da desserialização insegura de dados não confiáveis. Especificamente, ao carregar arquivos do Keras contendo uma classe
TorchModuleWrapper criada de forma maliciosa, um atacante pode executar código arbitrário no sistema de um usuário. Isso é possível mesmo quando o modo seguro está ativado. A questão pode ser desencadeada tanto por arquivos locais quanto remotos.Recomendações
As versões 3.11.0 a 3.11.2 devem ser atualizadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Keras