CVE-2026-80047
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Podatność w Hugging Face Transformers (wersje 4.57.0 do 5.16.1) pozwala na zapis zdalnych plików Python na lokalnym dysku bez zgody użytkownika podczas korzystania z GenerativePreTrainedModel.load_custom_generate(). Funkcja pobiera i buforuje zdalny plik modułu przed wykonaniem wymaganej kontroli zgody trust_remote_code, odwracając model bezpieczeństwa stosowany w innych ścieżkach ładowania kodu. W rezultacie kod Python kontrolowany przez atakującego z custom_generate/generate.py jest kopiowany do katalogu ~/.cache/huggingface/modules użytkownika, nawet jeśli użytkownik odrzuci monit o zaufanie.
Ocena ryzyka
Na dysku mogą pozostać trwałe, nieautoryzowane pliki, a zbuforowany złośliwy kod może zostać później wykonany podczas zaufanego ładowania modelu, co prowadzi do zdalnego wykonania kodu.
Rekomendacja
Zaktualizuj bibliotekę Hugging Face Transformers do wersji nowszej niż 5.16.1, a do czasu aktualizacji unikaj używania load_custom_generate() oraz wyczyść katalog ~/.cache/huggingface/modules.
Inne podatności w Hugging Face Transformers
Zobacz wszystkie- CVE-2026-75104Średnie
Hugging Face Transformers nie waliduje nazw plików shardów w plikach indeksu checkpointów, co pozwala atakującym czytać dowolne pliki poza katalogiem modelu. Atakujący mogą dostarczyć złośliwe pliki indeksu z odniesieniami do katalogów nadrzędnych lub ścieżkami bezwzględnymi, co umożliwia ujawnienie plików i rozpoznanie systemu plików.
- CVE-2026-9856Wysokie
Hugging Face Transformers do wersji 5.8.0.dev0 zawiera podatność na zapis dowolnych plików przez path traversal w metodach save_pretrained(). Klucze z chat_template są używane jako nazwy plików bez walidacji.
- CVE-2025-6051Średnie
W bibliotece Hugging Face Transformers wykryto podatność ReDoS w metodzie normalize_numbers() klasy EnglishNormalizer. Podatność dotyczy wersji do 4.52.4 i jest naprawiona w 4.53.0. Problem wynika z obsługi ciągów numerycznych, które mogą być wykorzystane przez długie sekwencje cyfr, prowadząc do nadmiernego zużycia CPU.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Hugging Face Transformers (versions 4.57.0 to 5.16.1) allows remote Python files to be written to local disk without user consent when using GenerativePreTrainedModel.load_custom_generate(). The function fetches and caches a remote module file before performing the required trust_remote_code consent check, inverting the security model enforced by other code-loading paths (such as AutoConfig, AutoModel, and AutoTokenizer). As a result, attacker‑controlled Python code from custom_generate/generate.py is copied into the user’s ~/.cache/huggingface/modules directory even if the user declines the trust prompt. Although execution is correctly gated, the file write is not reversible and can persist across sessions. This can lead to persistent, unauthorized files on disk and stale cache collisions where cached attacker code may later be executed during trusted model loads. The issue stems from an unconditional file write in dynamic_module_utils.py prior to any trust verification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS