CVE-2026-33625

Nome do Software Vulnerável e Versões Afetadas LMDeploy versões 0.12.1 through 0.12.2

Description Uma injeção de código é possível ao carregar um modelo malicioso do HuggingFace. O problema ocorre porque o valor quant dtype do quantization config do modelo é passado para a função eval() em lmdeploy/pytorch/config.py sem validação. Um invasor pode explorar isso publicando um modelo com a variável quantization config.quant dtype manipulada, resultando na execução de código Python arbitrário na máquina que carrega o modelo. Isso representa um vetor de ataque de cadeia de suprimentos que afeta usuários que carregam modelos não confiáveis em ambientes locais, nuvem ou de produção.

Recommendations Atualize para a versão 0.12.3.