CVE-2026-31221
Açıklama
PyTorch-Lightning 2.6.0 ve önceki sürümleri, checkpoint yükleme mekanizmasında güvensiz bir serileştirme açığı (CWE-502) içermektedir. Kaydedilmiş model durumlarını yüklemek için yaygın olarak kullanılan LightningModule.load_from_checkpoint() yöntemi, güvenlik kısıtlayıcı olan weights_only=True parametresini ayarlamadan dahili olarak torch.load() fonksiyonunu çağırmaktadır. Bu varsayılan davranış, Pickle modülü aracılığıyla rastgele Python nesnelerinin serileştirilmesine izin verir. Uzaktaki bir saldırgan, kötü niyetle hazırlanmış bir checkpoint dosyası sağlayarak bu durumu istismar edebilir ve dosya yüklendiğinde mağdurun sisteminde rastgele kod çalıştırılmasına yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lightningai pytorch_lightning | v ≤ 2.6.0 | — |
| pytorch-lightningPyPI | v ≤ 2.6.0 | — |
| lightningPyPI | v ≤ 2.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.