Vancir

O ModelScope utiliza o `yaml.Loader` inseguro do PyYAML para analisar arquivos de configuração de modelo. Isso permite a execução de código arbitrário por meio de tags de construção de objetos Python, permitindo que atacantes criem repositórios de modelos maliciosos com arquivos de configuração contaminados que executam código quando carregados pelos usuários.

Uma falha de bypass no mecanismo `trust remote code` na função `DiffusionPipeline.from pretrained()` permite a execução remota de código arbitrário, mesmo quando `trust remote code` é definido como `False` ou mantido como padrão. Isso ocorre porque a verificação de segurança foi implementada dentro da função `DiffusionPipeline.download()` em vez de no local de carregamento do módulo dinâmico, permitindo que qualquer caminho de código que ignore a função `download()` execute código não confiável. Isso se manifesta em três cenários: quando um `custom pipeline` é carregado de um repositório diferente do modelo principal, quando um snapshot local é usado com um `custom pipeline` baseado no Hub, ou quando um snapshot local contém arquivos de componentes personalizados referenciados no `model index.json`.