Podatności PyTorch Lightning
3 znanych podatności CVE w PyTorch Lightning, przetłumaczonych i ocenionych.
- CVE-2026-31221Wysokie
Wersje PyTorch-Lightning 2.6.0 i wcześniejsze zawierają podatność na niebezpieczną deserializację w mechanizmie ładowania punktów kontrolnych. Metoda LightningModule.load_from_checkpoint() wywołuje torch.load() bez ustawienia parametru security-restrictive weights_only=True, co umożliwia deserializację dowolnych obiektów Pythona.
- CVE-2026-44484Krytyczne
Podatność w PyTorch Lightning w wersjach 2.6.2 i 2.6.2 wprowadza funkcjonalność umożliwiającą kradzież poświadczeń (credential harvesting).
- CVE-2026-58659Wysokie
Podatność w PyTorch Lightning do wersji 2.6.5 (załatana w commicie d710d68) umożliwia zdalne wykonanie kodu poprzez funkcję _load_state, która importuje i wykonuje nazwy modułów kontrolowane przez atakującego z hiperparametrów _instantiator w plikach punktów kontrolnych. Atakujący mogą stworzyć złośliwe pliki checkpoint, które omijają zabezpieczenia weights_only=True i wykonują dowolny kod podczas wywołania LightningModule.load_from_checkpoint.