PT-2025-52381 · Hugging Face · Transformers Megatron Gpt2

Izobashi + 1 · Publicado 2025-12-18 · Atualizado 2025-12-24 · CVE-2025-14924

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Hugging Face Transformers megatron gpt2 (versões afetadas não especificadas)

Descrição Existe uma falha no processamento de checkpoints no Hugging Face Transformers megatron gpt2, decorrente de validação insuficiente de dados fornecidos pelo usuário. Isso pode levar à desserialização de dados não confiáveis, potencialmente permitindo que um atacante execute código no contexto do processo atual. É necessária interação do usuário, pois o alvo deve visitar uma página maliciosa ou abrir um arquivo malicioso para acionar a falha.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-14924

PYSEC-2025-213

ZDI-25-1141

Produtos afetados

Transformers Megatron Gpt2

Referências · 6

• https://twitter.com/VulmonFeeds/status/2003610964885663982 · Publicação no Twitter
• https://zerodayinitiative.com/advisories/ZDI-25-1141 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2025-213 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-14924 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2003700582696235033 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-14924 · Nota de Segurança