CVE-2026-68770

Nome do Software Vulnerável e Versões Afetadas sentence-transformers (versões afetadas não especificadas)

Descrição Existe uma falha de bypass de controle de segurança devido a um erro de lógica no auxiliar import module class dentro de sentence transformers/util/misc.py. A condição de guarda inclui uma cláusula or os.path.exists(model name or path) que satisfaz o portão de confiança sempre que o caminho fornecido existe no sistema de arquivos local, independentemente do argumento trust remote code=False. Isso permite que atacantes que possam influenciar o conteúdo de um diretório de modelo no disco insiram arquivos Python maliciosos, como modeling *.py referenciados via modules.json. Consequentemente, código arbitrário é executado durante o processo de importação quando uma aplicação carrega o modelo usando SentenceTransformer(path, trust remote code=False), ignorando o contrato de segurança documentado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.