CVE-2025-54886

skops, kullanıcıların scikit-learn tabanlı modellerini paylaşmalarına ve göndermelerine yardımcı olan bir Python kütüphanesidir. 0.12.0 ve altı sürümlerde, Card.get_model herhangi bir rastgele kod çalıştırılmasını önleyecek mantık içermemektedir. Card.get_model fonksiyonu, model yükleme için hem joblib hem de skops desteği sunmaktadır. .skops modelleri yüklenirken, güvenilir tip doğrulaması ile skops'un güvenli yüklemesini kullanır ve açıkça izin verilmediği sürece güvenilmeyen tipler için hatalar oluşturur. Ancak, .zip dışındaki dosya formatları sağlandığında, fonksiyon herhangi bir uyarı vermeden sessizce joblib'e geri döner. skops'un aksine joblib, yükleme sırasında rastgele kod çalıştırılmasına izin vererek güvenlik önlemlerini atlatır ve potansiyel olarak kötü amaçlı kod yürütülmesine olanak tanır. Bu sorun 0.13.0 sürümünde düzeltilmiştir.