p PatchFirst

CVE-2026-31222

CVE-2026-31222

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

The snorkel library thru v0.10.0 contains an insecure deserialization vulnerability (CWE-502) in the Trainer.load() method of the Trainer class. The method loads model checkpoint files using torch.load() without enabling the security-restrictive weights_only=True parameter. This default behavior allows the deserialization of arbitrary Python objects via the Pickle module. A remote attacker can exploit this by providing a maliciously crafted model file, leading to arbitrary code execution on the victim's system when the file is loaded via the vulnerable method.

CVSS 8.8 · Alta · EPSS 0,4%

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • n/a

    Versiones
    • n/a: Afectada

    Sin corrección publicada

  • snorkel PyPI

    Versiones
    • 0.10.0
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    Intervalos de versiones afectados
    • ECOSYSTEM: ≤ 0.10.0

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →