PT-2025-53604
CVE-2025-67729
·
تاريخ النشر
2025-12-26
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LMDeploy الأقدم من 0.11.1
الوصف
LMDeploy هي مجموعة أدوات تُستخدم لضغط نماذج اللغة الكبيرة (LLMs) ونشرها وتقديمها. توجد ثغرة أمنية تتمثل في استدعاء الدالة
torch.load() دون المعلمة weights only=True عند تحميل ملفات نقاط التحقق الخاصة بالنموذج. تسمح عملية إزالة التسلسل غير الآمنة هذه للمهاجم بتنفيذ تعليمات برمجية عشوائية على النظام عن طريق تحميل ملف نموذج ضار بتنسيق .bin أو .pt. تُستخدم الدالة torch.load() لتحميل الكائنات المسلسلة، وبدون المعلمة weights only=True، يمكنها فك تسلسل كائنات Python عشوائية، مما يؤدي إلى تنفيذ التعليمات البرمجية.التوصيات
تعتبر إصدارات LMDeploy الأقدم من 0.11.1 عرضة للخطر ويجب تحديثها إلى الإصدار 0.11.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾