CVE-2026-62239

إصدارات FlashAttention الأقدم من 2.8.3.post1

يوجد هجوم عبر الروابط الرمزية في الدالة download and copy() الموجودة في ملف hopper/setup.py. تحدث هذه المشكلة لأن أرشيفات سلسلة أدوات NVIDIA يتم استخراجها دون التحقق من صحة الروابط الرمزية أو تصفية مكونات ملفات tar. يمكن لمهاجم محلي وضع رابط رمزي في دليل ذاكرة التخزين المؤقت الذي يمكن التنبؤ به لإعادة توجيه الملفات الثنائية المستخرجة إلى موقع من اختياره، مما يسمح بكتابة ملفات عشوائية بامتيازات الضحية أثناء عملية البناء.

تحديث FlashAttention إلى الإصدار الذي يحتوي على الالتزام 0816ef1.