PT-2026-61515
CVE-2026-12484
·
تاريخ النشر
2026-04-20
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
keras-team/keras الإصدار 3.15.0
الوصف
يحدث فك التسلسل غير الآمن لبيانات PyTorch pickle التي يتحكم فيها المهاجم من خلال الطريقة العامة
keras.layers.TorchModuleWrapper.from config. يحدث هذا لأن الطريقة تستدعي torch.load(..., weights only=False) دون الحاجة إلى اختيار صريح لوضع غير آمن، مثل المعلمة safe mode=False. عند استدعاء هذه الطريقة خارج سياق SafeModeScope(True)، فإن عدم وجود حالة الوضع الآمن المحيطة يسمح بإلغاء التسلسل غير الآمن بشكل افتراضي، مما قد يؤدي إلى تنفيذ تعليمات برمجية تعسفية في حالة معالجة تكوينات طبقات Keras غير موثوق بها.التوصيات
قم بتحديث keras-team/keras إلى إصدار أحدث من 3.15.0.
كإجراء تخفيفي مؤقت، تأكد من استدعاء الطريقة
keras.layers.TorchModuleWrapper.from config ضمن سياق SafeModeScope(True) لفرض عملية إزالة التسلسل الآمنة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾