CVE-2026-46432
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
LMDeploy to zestaw narzędzi do kompresji, wdrażania i serwowania dużych modeli językowych. W wersjach 0.12.3 i wcześniejszych, LMDeploy jest podatny na wykonanie dowolnego kodu z powodu hardcodowanej opcji 'trust_remote_code=True' w wielu miejscach ładowania modeli HuggingFace.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemów korzystających z LMDeploy. Organizacje mogą być narażone na ataki, które mogą prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację LMDeploy do najnowszej wersji, gdy tylko zostanie wydana poprawka. W międzyczasie, należy rozważyć wyłączenie opcji 'trust_remote_code' w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
LMDeploy is a toolkit for compressing, deploying, and serving large language models. In versions 0.12.3 and prior, LMDeploy is vulnerable to arbitrary code execution through hardcoded "trust_remote_code=True" in multiple HuggingFace model-loading call sites. At time of publication, there are no publicly available patches.