CVE-2026-9856
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Hugging Face Transformers do wersji 5.8.0.dev0 zawiera podatność na zapis dowolnych plików przez path traversal w metodach save_pretrained(). Klucze z chat_template są używane jako nazwy plików bez walidacji.
Ocena ryzyka
Atakujący może opublikować złośliwe repozytorium, które po pobraniu i zapisaniu przez ofiarę spowoduje nadpisanie dowolnych plików w systemie ofiary.
Rekomendacja
Zaktualizuj bibliotekę transformers do wersji zawierającej poprawkę lub ogranicz zaufanie do pobieranych tokenizerów.
Inne podatności w Hugging Face Transformers
Zobacz wszystkie- CVE-2026-80047Wysokie
Podatność w Hugging Face Transformers (wersje 4.57.0 do 5.16.1) pozwala na zapis zdalnych plików Python na lokalnym dysku bez zgody użytkownika podczas korzystania z GenerativePreTrainedModel.load_custom_generate(). Funkcja pobiera i buforuje zdalny plik modułu przed wykonaniem wymaganej kontroli zgody trust_remote_code, odwracając model bezpieczeństwa stosowany w innych ścieżkach ładowania kodu. W rezultacie kod Python kontrolowany przez atakującego z custom_generate/generate.py jest kopiowany do katalogu ~/.cache/huggingface/modules użytkownika, nawet jeśli użytkownik odrzuci monit o zaufanie.
- CVE-2026-75104Średnie
Hugging Face Transformers nie waliduje nazw plików shardów w plikach indeksu checkpointów, co pozwala atakującym czytać dowolne pliki poza katalogiem modelu. Atakujący mogą dostarczyć złośliwe pliki indeksu z odniesieniami do katalogów nadrzędnych lub ścieżkami bezwzględnymi, co umożliwia ujawnienie plików i rozpoznanie systemu plików.
- CVE-2025-14930Wysokie
Podatność deserializacji niezaufanych danych w bibliotece Hugging Face Transformers dla modelu GLM4 podczas przetwarzania wag. Brak walidacji danych dostarczonych przez użytkownika może prowadzić do deserializacji niezaufanych danych i zdalnego wykonania kodu.
- CVE-2025-14929Wysokie
Podatność w Hugging Face Transformers podczas konwersji checkpointów X-CLIP polega na deserializacji niezaufanych danych bez odpowiedniej walidacji. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego procesu.
- CVE-2025-14928Wysokie
Podatność wstrzyknięcia kodu w funkcji convert_config biblioteki Hugging Face Transformers dla modelu HuBERT. Brak walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python umożliwia zdalne wykonanie kodu.
- CVE-2025-14927Wysokie
Podatność wstrzyknięcia kodu w funkcji convert_config biblioteki Hugging Face Transformers dla modelu SEW-D. Brak walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python umożliwia zdalne wykonanie kodu.
- CVE-2025-14926Wysokie
Podatność wstrzyknięcia kodu w funkcji convert_config biblioteki Hugging Face Transformers dla modelu SEW. Brak walidacji ciągu znaków dostarczonego przez użytkownika przed użyciem go do wykonania kodu Python umożliwia zdalne wykonanie kodu.
- CVE-2025-14924Wysokie
Podatność deserializacji niezaufanych danych w bibliotece Hugging Face Transformers dla modelu megatron_gpt2 podczas przetwarzania checkpointów. Brak walidacji danych dostarczonych przez użytkownika może prowadzić do deserializacji niezaufanych danych i zdalnego wykonania kodu.
- CVE-2025-14921Wysokie
Podatność deserializacji niezaufanych danych w bibliotece Hugging Face Transformers dla modelu Transformer-XL podczas przetwarzania plików modelu. Brak walidacji danych dostarczonych przez użytkownika może prowadzić do deserializacji niezaufanych danych i zdalnego wykonania kodu.
- CVE-2025-14920Wysokie
Podatność w Hugging Face Transformers w modelu Perceiver podczas parsowania plików modelu polega na deserializacji niezaufanych danych bez odpowiedniej walidacji. Wymaga interakcji użytkownika (otwarcie złośliwego pliku lub strony). Może prowadzić do zdalnego wykonania kodu w kontekście bieżącego użytkownika.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in huggingface/transformers versions <=5.8.0.dev0 allows an attacker to perform arbitrary file writes via path traversal. The issue resides in the `save_pretrained()` methods of `PreTrainedTokenizerBase` and `ProcessorMixin`, where keys from the `chat_template` dictionary are used directly as filenames without proper validation. An attacker can exploit this by publishing a malicious Hugging Face Hub repository with a crafted `tokenizer_config.json` file. When a victim downloads and saves the tokenizer or processor, the attacker-controlled keys can escape the intended save directory, enabling arbitrary file writes with attacker-controlled content. This vulnerability affects multiple processors inheriting from `ProcessorMixin`, including Idefics, Florence, Gemma, Phi, and Qwen-VL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS