CVE-2026-79785

Nome do Software Vulnerável e Versões Afetadas X-AnyLabeling (versões afetadas não especificadas)

Description O baixador de modelos desabilita a verificação de certificado TLS ao utilizar ssl. create unverified context() dentro da função download with retry() em anylabeling/services/auto labeling/model.py. Isso permite que um invasor intercepte conexões HTTPS e forneça conteúdo malicioso. A função safe check model() valida apenas o formato do arquivo e não verifica a procedência do arquivo por meio de hashes ou assinaturas. Para alvos ONNX, um invasor pode controlar o modelo usado para inferência. Para alvos .pth ou .pt utilizados pelas configurações SAM2 video, YOLOE, UPN e open vision, a aplicação chama torch.load() sem o parâmetro weights only, o que pode levar à execução de código arbitrário durante o processo de unpickling em versões anteriores do PyTorch.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.