Към съдържанието
Търсене

CVE-2026-58116: hiyouga LlamaFactory, инжекция

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

LLaMA-Factory through 0.9.5 contains a remote code execution vulnerability that allows attackers with WebUI access to execute arbitrary Python code by supplying a malicious model path in the Chat or Training interfaces. The application passes user-supplied model path input unvalidated into AutoTokenizer.from_pretrained() and AutoModel.from_pretrained() with a hardcoded trust_remote_code=True parameter, causing the Hugging Face transformers library to fetch and execute arbitrary code from a remote or local model repository with the privileges of the server process.

Засегнати продукти

  • hiyouga LlamaFactory: до 0.9.5

Вид слабост

История

  • 30 юни 2026 Публикувано

Други уязвимости в hiyouga LlamaFactory

Първоизточници

CVE-2026-58116: hiyouga LlamaFactory, инжекция | freedomonline.bg