CVE-2025-49655
CVE-2025-49655
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Deserialization of untrusted data can occur in versions of the Keras framework running versions 3.11.0 up to but not including 3.11.3, enabling a maliciously uploaded Keras file containing a TorchModuleWrapper class to run arbitrary code on an end user’s system when loaded despite safe mode being enabled. The vulnerability can be triggered through both local and remote files.
CVSS 9.8 · Critique · EPSS 0,8% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
keras
- Versions du logiciel
- ≥ 3.11.0, < 3.11.3: Concernée (semver)
Mettez à jour vers 3.11.3
keras Debian:11
- Versions du logiciel
- 2.3.1+dfsg-3
- 2.3.1+dfsg2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
keras PyPI
- Versions du logiciel
- 3.11.0
- 3.11.1
- 3.11.2
- Plages de versions concernées
- ECOSYSTEM: ≥ 3.11.0, < 3.11.3
Mettez à jour vers 3.11.3
keras Ubuntu:18.04:LTS
- Versions du logiciel
- 1.0.7-2
- 2.1.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
keras Ubuntu:20.04:LTS
- Versions du logiciel
- 2.2.4-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié