CVE-2026-31219
Təsvir
optimate layihəsinin a6d302f912b481c94370811af6b11402f51d377f (2024-07-21) commit-indəki neural_magic_training.py skriptinin _load_model() funksiyası təhlükəsiz olmayan deserializasiyaya (CWE-502) qarşı həssasdır. İstifadəçi --model komanda sətri arqumenti vasitəsilə tək bir model faylının yolunu (məsələn, .pt və ya .pth) təqdim etdikdə, funksiya weights_only=True təhlükəsizlik parametrini aktivləşdirmədən faylı torch.load() ilə yükləyir. Bu, Pickle modulu vasitəsilə ixtiyari Python obyektlərinin deserializasiyasına imkan verir. Uzaqdakı hücumçu zərərli şəkildə hazırlanmış model faylı təqdim etməklə bundan istifadə edə bilər ki, bu da qurbanın sistemində deserializasiya zamanı ixtiyari kodun icrasına gətirib çıxarır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| optimate | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.