PT-2025-38517
CVE-2025-9905
·
تاريخ النشر
2025-09-19
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Keras (الإصدارات المتأثرة غير محددة)
الوصف
يمكن استغلال الطريقة
Model.load model لتنفيذ تعليمات برمجية تعسفية، حتى عند تمكين safe mode. ويتم ذلك عن طريق إنشاء أرشيف نموذج .h5 أو .hdf5 مصمم خصيصًا لهذا الغرض، والذي يؤدي تحميله إلى تشغيل تعليمات برمجية تعسفية. تنبع هذه الثغرة الأمنية من حقيقة أن الخيار safe mode=True لا يُراعى عند قراءة أرشيفات .h5. تتعلق المشكلة بميزة طبقة Lambda في Keras، والتي تسمح بتضمين كود Python تعسفي في شكل كود مُحفوظ (pickled) داخل أرشيف النموذج.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾