CVE-2026-71281

Nome do Software Vulnerável e Versões Afetadas Hugging Face peft (versões afetadas não especificadas)

Description Os módulos de inicialização LoRA-GA e CorDA chamam a função torch.load() em arquivos de cache ou covariância especificados na configuração sem definir o parâmetro weights only=True. Isso ignora o wrapper de carregamento seguro implementado em outras partes da base de código. Como o torch.load() sem weights only=True realiza a desserialização completa do pickle, um invasor pode executar código arbitrário ao fornecer um arquivo de cache ou covariância malicioso, como um arquivo compartilhado ou baixado.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.