PT-2026-67346
CVE-2026-9335
·
تاريخ النشر
2026-08-02
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات
keras-team/keras الأقدم من 3.14.1الوصف
يؤدي التعامل غير السليم مع روابط HDF5 الخارجية (ExternalLinks) إلى الكشف التعسفي عن محتوى ملفات HDF5 المحلية. تتجاوز الدالتان
KerasFileEditor وkeras.saving.load weights الدالتين المساعدتين safe get h5 group وsafe get h5 dataset، اللتين تهدفان إلى رفض الروابط الخارجية (ExternalLinks) والروابط المرنة (SoftLinks). ويؤدي ذلك إلى إلغاء الإشارة تلقائيًا إلى الروابط المؤدية إلى ملفات HDF5 الخارجية، مما يسمح للمهاجمين بالكشف عن البيانات الحساسة من نظام الملفات المحلي عن طريق توفير ملف خبيث بتنسيق .h5 أو .weights.h5 أو .keras. وعلى وجه التحديد، تقوم KerasFileEditor باستخراج السمات ومجموعات البيانات من الملفات المرتبطة، بينما تقوم keras.saving.load weights بتحميل الأوزان من هذه الملفات المرتبطة إلى نموذج المستخدم.التوصيات
قم بالتحديث إلى إصدار أحدث من 3.14.0.
كحل مؤقت، تجنب استخدام دالتي
KerasFileEditor وkeras.saving.load weights مع ملفات .h5 أو .weights.h5 أو .keras غير الموثوق بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾