CVE-2026-31222

Nome do Software Vulnerável e Versões Afetadas snorkel versões anteriores a 0.10.1

Descrição Ocorre uma desserialização insegura no método Trainer.load() da classe Trainer. O método utiliza torch.load() para carregar arquivos de checkpoint de modelo sem habilitar o parâmetro weights only=True. Isso permite a desserialização de objetos Python arbitrários via módulo Pickle (um módulo Python usado para serializar e desserializar objetos), o que pode permitir que um invasor remoto execute código arbitrário no sistema ao fornecer um arquivo de modelo maliciosamente criado.

Recomendações Atualize para uma versão posterior a 0.10.0. Como medida paliativa temporária, restrinja o carregamento de arquivos de modelo de fontes não confiáveis ao usar o método Trainer.load().