p PatchFirst

CVE-2026-31224

CVE-2026-31224

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The snorkel library thru v0.10.0 contains an insecure deserialization vulnerability (CWE-502) in the MultitaskClassifier.load() method of the MultitaskClassifier class. The method loads model weight files using torch.load() without enabling the security-restrictive weights_only=True parameter. This default behavior allows the deserialization of arbitrary Python objects via the Pickle module. A remote attacker can exploit this by providing a maliciously crafted model file, leading to arbitrary code execution on the victim's system when the file is loaded via the vulnerable method.

CVSS 8.8 · Hoch · EPSS 0,4%

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • n/a

    Softwareversionen
    • n/a: Betroffen

    Keine Korrektur veröffentlicht

  • snorkel PyPI

    Softwareversionen
    • 0.10.0
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≤ 0.10.0

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →