CVE-2025-32434

إصدارات PyTorch الأقدم من 2.6.0

PyTorch ≤2.5.1

يحتوي PyTorch على ثغرة أمنية تسمح بتنفيذ الأوامر عن بُعد (RCE). توجد هذه الثغرة في الإصدارات 2.5.1 وما قبلها، وتحدث تحديدًا عند تحميل نموذج باستخدام الدالة torch.load() مع المعلمة weights only=True. على الرغم من أن تحميل النماذج باستخدام هذا الإعداد كان يُعتبر ممارسة آمنة في السابق، إلا أنه قد يؤدي الآن إلى تنفيذ تعليمات برمجية تعسفية. تسمح هذه الثغرة للمهاجمين بإنشاء ملفات نماذج ضارة قادرة على تنفيذ تعليمات برمجية على نظام الضحية. وتكون الدالة torch.load()، عند استخدامها مع weights only=True، عرضة للاستغلال بسبب عملية إزالة التسلسل غير الآمنة. حصلت هذه الثغرة على درجة CVSS تبلغ 9.3 وتُعتبر حرجة.

قم بالتحديث إلى الإصدار 2.6.0 أو أحدث من PyTorch لإصلاح هذه الثغرة الأمنية. كإجراء مؤقت، تجنب استخدام torch.load() مع الملفات الخارجية وقم بتنفيذ فحص إضافي لمحتوى النموذج.