CVE-2025-49655
CVE-2025-49655
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Deserialization of untrusted data can occur in versions of the Keras framework running versions 3.11.0 up to but not including 3.11.3, enabling a maliciously uploaded Keras file containing a TorchModuleWrapper class to run arbitrary code on an end user’s system when loaded despite safe mode being enabled. The vulnerability can be triggered through both local and remote files.
CVSS 9.8 · Crítica · EPSS 0,8% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
keras
- Versiones
- ≥ 3.11.0, < 3.11.3: Afectada (semver)
Actualiza a 3.11.3
keras Debian:11
- Versiones
- 2.3.1+dfsg-3
- 2.3.1+dfsg2-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
keras PyPI
- Versiones
- 3.11.0
- 3.11.1
- 3.11.2
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.11.0, < 3.11.3
Actualiza a 3.11.3
keras Ubuntu:18.04:LTS
- Versiones
- 1.0.7-2
- 2.1.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
keras Ubuntu:20.04:LTS
- Versiones
- 2.2.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada