CVE-2026-69112
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Hugging Face Accelerate do wersji 1.14.0 zawiera podatność na przechodzenie poza katalog w funkcjach load_checkpoint_in_model i load_checkpoint_and_dispatch, które nie sanityzują wpisów weight_map z indeksów punktów kontrolnych. Atakujący może podać względne ścieżki z sekwencjami ../ lub ścieżki bezwzględne do odczytu dowolnych plików lub wskazać wpisy na nazwane potoki, powodując blokadę i odmowę usługi.
Ocena ryzyka
Atakujący może odczytać dowolne pliki na serwerze lub spowodować odmowę usługi, co może prowadzić do wycieku danych lub przerwania działania aplikacji.
Rekomendacja
Zaktualizuj Hugging Face Accelerate do wersji zawierającej poprawkę lub zastosuj walidację ścieżek w kodzie.
Oryginalny opis (angielski, źródło NVD)
Hugging Face Accelerate through 1.14.0 contains a path traversal vulnerability in load_checkpoint_in_model and load_checkpoint_and_dispatch functions that fail to sanitize weight_map entries from sharded checkpoint indexes. Attackers can supply relative paths with ../ sequences or absolute paths to read arbitrary files, or point shard entries at named pipes to cause indefinite blocking and denial of service.