PT-2025-52383 · Hugging Face · Huggingface/Transformers

Brandon Niemczyk + 3 · Publicado 2025-12-18 · Atualizado 2025-12-24 · CVE-2025-14926

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Hugging Face Transformers (versões afetadas não especificadas)

Descrição Existe uma falha na função convert config no Hugging Face Transformers que permite a atacantes remotos executar código arbitrário em instalações afetadas. A exploração requer interação do usuário, especificamente a conversão de um checkpoint malicioso. O problema origina-se da validação insuficiente de strings fornecidas pelo usuário antes de serem usadas para executar código Python, potencialmente permitindo que um atacante execute código no contexto do usuário atual.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-14926

PYSEC-2025-214

ZDI-25-1147

Produtos afetados

Huggingface/Transformers

Referências · 5

• https://osv.dev/vulnerability/PYSEC-2025-214 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-14926 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-25-1147 · Nota de Segurança
• https://twitter.com/CVEnew/status/2003700584625635368 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-14926 · Aviso do Fabricante