CVE-2025-51427

WysokieCVSS 7.3

Opublikowano: 19/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

W ModelScope 1.25.0 odkryto problem umożliwiający atakującym wykonanie dowolnego kodu poprzez spreparowany moduł wymieniony w pliku konfiguracyjnym (dey_mini.yaml) pod kluczem ['nnet']['module'].

Ocena ryzyka

Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do całkowitego przejęcia systemu.

Rekomendacja

Zaktualizuj ModelScope do wersji pozbawionej tej podatności lub unikaj używania niezaufanych plików konfiguracyjnych.

Inne podatności w ModelScope

CVE-2026-84202Wysokie
ModelScope używa niebezpiecznego yaml.Loader z PyYAML do parsowania plików konfiguracyjnych modeli, co umożliwia wykonanie dowolnego kodu poprzez tagi konstrukcji obiektów Pythona. Atakujący mogą tworzyć złośliwe repozytoria modeli z zatrutymi plikami konfiguracyjnymi, które wykonują kod po załadowaniu przez użytkowników.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in ModelScope 1.25.0 allowing attackers to execute arbitrary code via crafted module listed in the configuration file (dey_mini.yaml) under the key ['nnet']['module'].