CVE-2025-3263

Nome do Software Vulnerável e Versões Afetadas: Hugging Face Transformers versão 4.49.0

Descrição: Uma vulnerabilidade de Negação de Serviço por Expressão Regular (ReDoS) foi descoberta na biblioteca Hugging Face Transformers, especificamente na função get configuration file() dentro do módulo transformers.configuration utils. A vulnerabilidade origina-se do uso de um padrão de expressão regular config.(.*).json que pode ser explorado para causar consumo excessivo de CPU através de cadeias de entrada manipuladas, levando a um backtracking catastrófico. Isso pode resultar em interrupção na disponibilização de modelos, esgotamento de recursos e aumento da latência em aplicações que utilizam a biblioteca.

Recomendações: Para a versão 4.49.0, atualize para a versão 4.51.0 para resolver o problema. Como solução temporária, considere desabilitar a função get configuration file() até que uma correção esteja disponível. Restrinja o acesso ao módulo transformers.configuration utils para minimizar o risco de exploração. Evite usar o padrão de expressão regular config.(.*).json na função afetada até que o problema seja resolvido.