CVE-2026-1839
Təsvir
HuggingFace Transformers kitabxanasında, xüsusilə `Trainer` sinfində ixtiyari kodun icrasına imkan verən zəiflik aşkar edilmişdir. `src/transformers/trainer.py` faylının 3059-cu sətrindəki `_load_rng_state()` metodu `torch.load()` funksiyasını `weights_only=True` parametri olmadan çağırır. Bu problem, `torch>=2.2` dəstəkləyən və 2.6-dan aşağı PyTorch versiyaları ilə istifadə edilən kitabxananın bütün versiyalarına təsir edir, çünki bu versiyalarda `safe_globals()` kontekst meneceri heç bir mühafizə təmin etmir. Hücumçu, yükləndikdə ixtiyari kodu icra edə bilən `rng_state.pth` kimi zərərli yoxlama nöqtəsi (checkpoint) faylı təqdim etməklə bu zəiflikdən istifadə edə bilər. Problem v5.0.0rc3 versiyasında həll edilmişdir.
Necə düzəltmək olar
- huggingface transformers5.0.0 və ya daha yeni versiya
- transformers5.0.0rc3, 5.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| huggingface transformers | v < 5.0.0, 5.0.0 | 5.0.0 |
| transformersPyPI | v < 5.0.0rc3, v < 5.0.0 | 5.0.0rc3, 5.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.