PT-2025-52385 · Hugging Face · Huggingface/Transformers

Brandon Niemczyk + 2 · Publicado 2025-12-18 · Atualizado 2026-01-21 · CVE-2025-14928

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Hugging Face Transformers (versões afetadas não especificadas)

Descrição Existe uma falha na função convert config do Hugging Face Transformers, permitindo que atacantes remotos executem código arbitrário em sistemas afetados. A exploração requer interação do usuário, especificamente a conversão de um checkpoint malicioso. A questão decorre da validação insuficiente de strings fornecidas pelo usuário antes de serem usadas para executar código Python, potencialmente permitindo que um atacante execute código no contexto do usuário atual.

Recomendações Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2025-14928

PYSEC-2025-216

ZDI-25-1146

Produtos afetados

Huggingface/Transformers

Referências · 7

• https://osv.dev/vulnerability/CVE-2025-14928 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-14928 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-25-1146 · Nota de Segurança
• https://t.me/cveNotify/149421 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2025-216 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2003700581739974839 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2003598166889799827 · Publicação no Twitter