6.8
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се локално, без особени условия, без вход и след действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Hugging Face Transformers fails to validate shard filenames in checkpoint index files, allowing attackers to read arbitrary files outside the model directory. Attackers can supply malicious index files with parent-directory references or absolute paths that are joined without validation, enabling file disclosure and filesystem reconnaissance.
Засегнати продукти
- huggingface transformers: до 5.15.0
Вид слабост
История
- 17 август 2026 Публикувано
Други уязвимости в huggingface transformers
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-75104
- https://nvd.nist.gov/vuln/detail/CVE-2026-75104
- https://github.com/huggingface/transformers/issues/47176
- https://github.com/huggingface/transformers/issues/47177
- https://github.com/huggingface/transformers
- https://github.com/huggingface/transformers/blob/main/src/transformers/utils/hub.py
- https://www.vulncheck.com/advisories/hugging-face-transformers-path-traversal-via-checkpoint-index