CVE-2026-62239

Nome do Software Vulnerável e Versões Afetadas FlashAttention versões anteriores a 2.8.3.post1

Description Um ataque de symlink existe na função download and copy() dentro de hopper/setup.py. O problema ocorre porque os arquivos do toolchain da NVIDIA são extraídos sem a validação de links simbólicos (symlinks) ou a filtragem de membros do tar. Um invasor local pode plantar um symlink no diretório de cache previsível para redirecionar os binários extraídos para um local escolhido pelo invasor, permitindo a gravação arbitrária de arquivos com os privilégios da vítima durante o tempo de compilação.

Recommendations Atualize o FlashAttention para a versão que contém o commit 0816ef1.